Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique
À balles réelles
Illustration : Flock
Le 15 juillet à 17h59
Un lourd rapport a été publié ce 15 juillet, suite aux travaux de la commission lancée en février pour analyser les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Cette commission, présidée par Philippe Latombe avec Cyrielle Chatelain comme rapporteure, pointe six grandes catégories de failles et liste de nombreuses recommandations, dont certaines radicales.
Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique
À balles réelles
Illustration : Flock
Un lourd rapport a été publié ce 15 juillet, suite aux travaux de la commission lancée en février pour analyser les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Cette commission, présidée par Philippe Latombe avec Cyrielle Chatelain comme rapporteure, pointe six grandes catégories de failles et liste de nombreuses recommandations, dont certaines radicales.
Logiciel
Logiciel
14 min
Cet épais rapport sur la souveraineté numérique de 453 pages est le fruit d’un travail ayant réuni 26 députés issus de l’ensemble des groupes politiques. Le rapport a été adopté le 8 juillet, à l’issue de 45 auditions, 112 personnes ayant été entendues. Une semaine plus tard, le rapport est en ligne et une conférence de presse a été organisée pour en brosser les grandes lignes.
Constats amers
Dès l’avant-propos, Philippe Latombe donne le ton. Lui qui est également président de la commission chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité situe le rapport dans la continuité d’une mission d’information qu’il avait déjà consacrée à la souveraineté numérique en 2021. Le propos se fait volontiers acide : « Mon principal regret reste sans doute qu’il ait fallu attendre l’ère MAGA pour qu’un plus grand nombre de politiques et de groupes parlementaires s’intéresse aux dépendances structurelles et aux vulnérabilités systémiques de la France dans le secteur du numérique, ainsi qu’aux risques pour l’indépendance et la souveraineté de notre pays ».
Le député dit avoir été « peu suivi » et « trop souvent cantonné au rôle de Cassandre ». À ceci près que le personnage mythologique « n’avait à alerter que sur un cheval de Troie, alors que nous devons faire face à une multitude de vulnérabilités : fournisseurs américains de cloud, systèmes d’exploitation étrangers, nombreux composants électroniques asiatiques, infrastructures internet mondiales… ».
L’introduction situe ensuite le périmètre retenu. D’une part, les administrations publiques et les entreprises d’intérêt vital, jugées prioritaires en raison de leur criticité. D’autre part une approche plus large des « dépendances systémiques », couvrant six familles de vulnérabilités. La commission indique explicitement ne pas avoir traité en détail la cybersécurité proprement dite ni les dépendances matérielles, qui font l’objet de travaux distincts.
Les six catégories de vulnérabilités sont les suivantes :
- les failles démocratiques à travers les ingérences et la désinformation. Les algorithmes de recommandation des plateformes privées sont pointés du doigt, dont celui de X au travers des travaux menés par Germain Gauthier, directeur de recherche au CNRS : jusqu’à 15 % des électeurs indépendants peuvent changer d’opinion après une exposition aux réseaux sociaux ;
- l’exploitation des failles techniques dans les administrations et les entreprises, et le torrent d’attaques cyber qui en découle, avec pour preuve les multiples fuites référencées ces dernières années ;
- la quantité croissante de données à stocker et à protéger, avec les trois thématiques liées : légalité des traitements opérés (RGPD), extraterritorialité du droit (tout particulièrement américain) et captation des données ;
- la primauté du profit sur les libertés individuelles, qui entraîne violation de la vie privée, exposition à des contenus nocifs et développement d’algorithmes addictifs ;
- le verrouillage et la dépendance des utilisateurs, pratique jugée comme étant « au cœur des stratégies des fournisseurs de logiciels » ;
- les vulnérabilités liées aux infrastructures et aux composants clés.
Où en sont les administrations françaises ?
C’est le chapitre le plus documenté du rapport. La méthodologie a reposé sur des questionnaires envoyés à l’ensemble des directions numériques ministérielles (annexe 2), complétés par des auditions des directeurs des systèmes d’information.
Il en est notamment ressorti que sur les 466 applications métiers recensées dans l’administration (liste non exhaustive), les deux tiers ont été développées spécifiquement pour les besoins associés, dont 57 % par des prestataires externes. L’analyse croisée par pays d’origine montre que les fournisseurs français dominent largement les applications les plus critiques : 69 % pour la catégorie 1 (atteinte à l’ordre public, sécurité, vie des personnes) et 83 % pour la catégorie 2 (interruption d’une mission de service public essentielle), soit respectivement 81 et 228 applications. Les États-Unis arrivant en deuxième position avec 7 et 12 applications respectivement.
Il reste 73% de l'article à découvrir.
Déjà abonné ou lecteur ? Se connecter
Soutenez un journalisme indépendant,
libre de ton, sans pub et sans reproche.
Accédez en illimité aux articles
Profitez d'un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
expert et sans pub.
Commentaires (22)
Le 15 juillet à 18h45
Le 15 juillet à 18h53
Le 16 juillet à 00h48
Le 16 juillet à 01h24
Modifié le 16 juillet à 14h28
90% des gens sur informatique font juste de l'administratif, ou utilisent de plus en plus des applications web, pour lesquelles un navigateur suffit.
Le 16 juillet à 14h34
Le 15 juillet à 18h50
Le commerce est une compétence européenne, et l'Europe a décidé que les clauses sur le cloud sont exclusivement techniques. Donc hormis quelques cas critiques, nos administrations et entreprises sont à la peine pour monter des appels d'offres conformes qui imposeraient SecNumCloud.
Le 15 juillet à 19h32
Les FAIs sont des Opérateurs d'Infrastructures Vitales. Ce qui veut dire aussi : sécurité nationale. Donc l'Europe pour ces cas n'a rien à dire.
Modifié le 15 juillet à 19h52
La France a déjà démontré sa capacité à ne pas jouer les règles du jeu quand elle ne le souhaitait pas.
À l'aune du droit des peuples à s'auto-déterminer prévu par les lois internationales, on pourrait tout à fait faire de même, pour de meilleure raisons, pour de meilleures fins, que ce que la France a réalisé jusqu'à présent.
Le tout en supposant, évidemment, que des directives et/ou règlements européens empêche litéralement la souveraineté, et qu'il ne s'agit pas simplement d'un fatalisme opportun, déclarant impossible une cause que l'on ne souhaite pas soutenir…
--
La souveraineté est l'affirmation par un État de sa volonté d'appliquer son indépendance sur son territoire.
Rien ni personne ne peut s'opposer à ce principe fondamental, garanti par les lois internationales, notamment par les droit des peuples à disposer d'eux-même.
L'Europe (au sens Union européenne) est une construction inter-États, au droit de laquelle la France s'oppose déjà de manière régulière par exemple, en restant dans le domaine numérique, sur la conservation généralisée des données déclarée illégale de manière constante par de multiples décisions de justice de la CJUE… et que la France continue d'ignorer en toute impunité, continuant à obliger légalement ses entités à effectuer cette conservation.
Supposer que l'on aurait les mains liées me fait doucement rire, et cet argumentaire n'est généralement utilisé que pour cacher une absence de volonté à agir en sens contraire.
Là se situe bien le bât qui blesse.
Concernant les institutions, que l'on parle de ministères, administrations ou université, il y a une volonté positive d'imposer et de continuer à imposer ces technologies à leur population, en inversant la responsabilité qui reviendrait à la-dite population ("vous comprenez, les gens le demandent").
Là où cette inversion fonctionne le moins, le cas le plus "drôle", est la fourniture par certaines universités (toutes ?) de technologies M$ au travers du programme MSDN-AA, y compris à une population étudiante qui est bien plus malléable et bien moins enfermée a priori dans celles-ci.
Concernant les entreprises, il y a là-aussi une volonté positive d'exploiter ces technologies, de continuer à passer (lourdement) à la caisse pour des licences logicielles privatrices, et d'écarter les voix internes dissonantes. À titre d'exemple, quand une entreprise licencie ou n'embauche pas au prétexte du "coût du travail", mais que la ligne budgétaire allouée à ces licences dépasse celle du coût salarial.
Dans cet exercice, le petit théâtre consistant à faire semblant de protester lors de fausses renégociations pour repartir avec un catalogue forfaitaire de licences plus larges (coûtant globalement encore plus cher…) me fait penser au petit théâtre concernant les fausses renégociations avec les gloutons concessionnaires pour repartir du plus belle, leurs abus ayant été pourtant préalablement & largement démontrés.
Quelle proportion d'entreprises, si elles existent, n'ont pas une architecture dépendant centralement de technologies M$ ?
Qu'un individu, serviteur de la chose publique, cesse d'être Cassandre isolément est un pas en avant. Encore faudrait-il que la commission ne devienne pas, à son tour, une Cassandre.
Le chemin est encore long pour un passage par la loi, et que son application amène à de la régulation. Car les entreprises ne feront rien si ce n'est entretenir toujours plus de dépendances de leurs systèmes & applications.
Le matériel est un chantier à part entière et incroyablement plus compliqué, mais ses prémisses se trouvent dans la question des semi-conducteurs… réflexion paradoxalement déjà transcrite en plan.
De l'autre côté de l'échelle, les citoyens sont libres de s'intéresser à la chose informatique sans attendre la nécessaire éducation sur le libre & sa garantie juridique par d'autres licences, mises en opposition aux premières.
Aucun changement ne viendra en revanche d'un fatalisme consistant à répéter à s'en convaincre qu'il est impossible d'agir car un cadre européen nous y empêcherait.
La loi, si tant est qu'elle existe et n'est pas supposée comme obstacle virtuel, cela se fait évoluer, qui plus est des directives et/ou règlements européens s'ils ne servent pas le bien commun. L'Europe dérive ses traités de textes fondamentaux, ce qui a permis la force pénétrante du RGPD.
Si des règles établies ne conviennent pas, résultant potentiellement de l'existence ahurissante d'institutions de l'Union européenne ahurissants (coucou la Commission européenne, le Conseil de l'Union européenne, le Conseil européen), elles sont adressables sur la base du cadre de ces fondamentaux.
Modifié le 16 juillet à 10h09
relative à la sécurisation des marchés publics numérique. Un article prévoyait de renforcer les exigences de souveraineté.
Les sénateurs ont conclu : "En premier lieu, les obligations nouvelles que l’article unique entend
imposer dans tous les marchés publics présentent un risque d’inconventionnalité et d’inconstitutionnalité". L'article a sauté.
Ils le regrettaient, et moi aussi.
Donc, je fais remarquer que les intentions doivent aussi se matérialiser dans la loi.
Après, tu peux à titre individuel en faire plus, tenter de pousser ta boîte à en faire plus, mais sans un cadre légal adapté ce sera toujours limité ou risqué.
Modifié le 16 juillet à 01h30
On ne peut pas discriminer sur la nationalité de l'entreprise mais on peut trouver des alternatives. Les marchés publics de nourriture pour les écoles ont compris la technique en imposant un critère de distance de transport maximale plutôt qu'une "origine France" par exemple.
SecNumCloud à son tour impose la non-dépendance à un droit extra-communautaire au lieu de la nationalité (une entreprise hors UE qui peut prouver que les données transmises ne peuvent être en aucun cas soumises à un droit extra-communautaire peut obtenir SecNumCloud).
Le label est en place et légalement obligatoire pour les hébergements de données sensibles par du public, sans s'être attiré les foudres de la ComUE.
Le 16 juillet à 10h01
Si tu tentes des alternatives pas assez subtiles, ton appel d'offres ou son résultat sera contesté.
J'ai entendu parler d'une grosse institution (la Caisse des Dépôts et Consignations) qui a trouvé une alternative en se basant sur DORA pour imposer SecNumCloud. Donc certains y arrivent, mais ce n'est franchement pas trivial, et je me demande si ce ne serait pas limité aux OIV.
Je reste très favorable à la souveraineté numérique, mais si elle est limitée légalement, ce sera compliqué de la faire avancer.
Le 15 juillet à 20h35
Modifié le 15 juillet à 21h00
Alors la dernière fois que j’ai malheureusement eu à porter plainte, leurs systèmes m’ont juste fait de la peine…
Genre faire de la retranscription vocale ça serait pas un peu un B A BA ?!
Ok sur la souveraineté, mais niveau efficacité opérationnelle, on repassera…
Je dis pas qu’il faut pas y aller, mais que si switch il doit y avoir, il est illusoire de penser que le libre atteint la maturité des technos des scalers dans les intégrations, et dans les possibilités de leurs cloud.
C’est bien pour ça que beaucoup de députés utilisent des iPhone et chat gpt…
Le 15 juillet à 22h23
La maturité pour scaler ? Faudra m'expliquer, jusqu'à preuve du contraire c'est plutôt le libre qui est un éléments fondateur de tous ces clouds justement.
Le 15 juillet à 23h42
Mais on parlait pas de la même chose. La techno existe, best-in-class même. Mon point c’est l’industrialisation : faire tourner un modèle en POC un vendredi après-midi, et le maintenir à jour, sécurisé, monitoré, supporté sur des dizaines de milliers de postes pendant 10 ans sans que ça devienne un fossile numérique, c’est un tout autre métier. C’est exactement cette charge-là que les scalers absorbent dans leur package.
Et c’est précisément pour ça que la gendarmerie est dans l’état où elle est aujourd’hui, pas parce qu’ils vont se planter demain, mais parce qu’ils sont déjà en retard : scaler et maintenir du libre à cette échelle dans la durée, c’est dur, ça demande des moyens humains et une organisation que peu d’administrations ont. Le libre te donne le moteur, mais si t’as pas l’écurie derrière pour le faire vivre 10 ans, tu te retrouves avec exactement ce que je décrivais dans mon message initial.
Donc oui à la souveraineté sur le principe, mais sans mesurer cet effort d’industrialisation, on va droit vers un plan sur la comète.
Modifié le 15 juillet à 22h53
Parce que si c'est pour dicter, avoir le collègue qui tape l'incruste et qui se fait retranscrire également, relire (et éventuellement corriger), etc ...
En plus, ça sous-entend qu'il faut du matériel un minimum qualitatif.
Et il y a gros à parier qu'avec le temps, ils ne seront plus relus. C'est dommage si ça doit figurer dans une procédure et que le contenu est inexploitable.
Le 15 juillet à 23h40
À essayer, c'est assez pratique. Et oui, il faut relire, évidemment. Mais y a du push-to-talk, donc pas de souci pour le collègue qui rentre à l'improviste.
Le 16 juillet à 01h31
Le 16 juillet à 10h44
Dans les méta-données du PDF. C'est ironique, n'est-ce pas ?
Mais ma vraie critique c'est : y a toujours pas de sommaire dans le PDF créé à partir de Word ? Hé, les gens, essayez LibreOffice, vous verrez, c'est peut-être plus moche, mais en fait c'est mieux.
Le 17 juillet à 09h08
Ça n'enlève rien à l'ironie de la chose, mais c'est probable que docx ait été utilisé comme format d'échange même si seulement quelques personnes participant au rapport utilisaient réellement Word...
Le 16 juillet à 14h50
Une application client/serveur sous Windows sous entend souvent:
- Un système d'explotation Windows Server pour héberger l'application serveur
- un SGBD SQL (ou autre) pour la ou les bases de données
- Une infrastructure utilisée par l'application (réseau, stockage,..)
- Un système d'exploitation Windows pour faire fonctionner l'application cliente
Enfin:
- l'application serveur & l'application cliente
Les éditeurs de logiciels peuvent être souverains ET être uniquement compatibles/supportés avec un composant non souverain (ie/ SQL).
Certains composants ne seront jamais réellement totalement souverain (stockage, réseau)?
C'est un sujet très complexe après je suis d'accord qu'il faut bien commencer le nettoyage en débutant avec le plus simple des produits: application autonome, bureautique, ..
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?