Cyberespace aux États-Unis : la politique de Trump fragilise la défense face aux cybermenaces

La gestion de la cybersécurité aux États-Unis illustre la complexité d'un système politique décentralisé qui, loin d’apporter des solutions cohérentes, amplifie les vulnérabilités. Alors que l'administration Biden s'efforçait de créer des partenariats pour renforcer la défense numérique, le retour à une politique de désengagement sous Donald Trump met en lumière des failles croissantes. Les acteurs privés, confrontés à un manque de coordination et de soutien de l'État fédéral, expriment une inquiétude grandissante face à des menaces toujours plus ciblées et sophistiquées. Stéphane Taillat, maître de conférences HDR en histoire et civilisation contemporaine, à l'IFG de l'Université Paris 8, en détachement à l'Académie militaire de Saint-Cyr Coëtquidan, chercheur au CREC et GEODE.

Quels sont les marqueurs spécifiques de ce que vous appelez la "conflictualité numérique", par rapport au conflit classique ?

La notion de conflictualité numérique se caractérise par l’exploitation spécifique des propriétés du cyberespace. Elle repose sur l'idée que divers acteurs — qu’il s’agisse de gouvernements, de groupes criminels ou d’autres entités — ont compris que l'infrastructure du cyberespace permet d'infiltrer de nombreux systèmes, de détruire des informations de manière globale ou de produire des effets tels que la paralysie de systèmes informatiques essentiels. En résumé, la conflictualité numérique désigne le processus par lequel ces acteurs ont progressivement instrumentalisé le cyberespace à des fins stratégiques.

Trois dimensions peuvent être distinguées : le cyberespace peut être un théâtre d’affrontement, un enjeu stratégique en soi ou un moyen pour atteindre des objectifs. Cette conflictualité peut se déployer à différentes échelles, en fonction des acteurs et des contextes.

La frontière entre cybercriminalité, cyberguerre et cyberterrorisme est-elle encore pertinente ?

Si l'on considère que tous ces acteurs cherchent à instrumentaliser les infrastructures numériques pour atteindre leurs objectifs, alors ils relèvent effectivement d’une même dynamique de conflictualité numérique. La distinction réside dans les finalités poursuivies. Concernant le cyberterrorisme, il est important de noter que, jusqu’à présent, les organisations terroristes utilisent le cyberespace principalement pour la communication, la propagande ou le recrutement, mais rarement pour conduire des attentats exclusivement numériques.

La cybercriminalité, en revanche, est un phénomène ancien, remontant à l’émergence d’Internet dans les années 1990, mais qui s'est fortement professionnalisé. Les groupes spécialisés dans les ransomwares — chiffrant les données pour extorquer des rançons — en sont aujourd'hui l’expression la plus marquante. De plus, ces groupes tendent de plus en plus à s'aligner, de manière objective ou subjective, sur des intérêts étatiques. Le fait de paralyser certaines organisations stratégiques peut ainsi contribuer aux objectifs géopolitiques d’un État, même sans lien formel direct.

Vous affirmez que la principale vulnérabilité des États-Unis en cybersécurité réside dans leur propre système. Quels aspects structurels ou organisationnels expliquent cette fragilité ?

Quand on parle des États-Unis, on pense souvent aux instruments de puissance, à leurs atouts économiques comme les grandes plateformes, les GAFAM. Ils sont liés également à des acteurs qui ont très précocement compris que le cyberespace pouvait servir leurs objectifs, notamment les services de renseignement comme la NSA. Pourtant, le pouvoir politique aux États-Unis n’a cessé de ramer à contre-courant pour essayer de persuader tout son écosystème qu’il fallait aussi s'occuper de la partie défensive. Ils ont en effet promu un système ouvert, dans lequel les attaques offensives sont facilitées, mais qui désarme les outils qui permettent aux victimes de se protéger. Ce système ne prend pas suffisamment en compte la cybersécurité à l’échelle globale. Il est important que tout le monde soit impliqué. La cybersécurité est mieux servie par ceux qui sont installés dans le système que les petits utilisateurs comme nous tous, les petites entreprises ou les administrations.

Par ailleurs, les États-Unis sont confrontés à une complexité politique, décentralisée : la structure fédérale implique un enchevêtrement d’autorités à différents niveaux (État fédéral, États fédérés, collectivités locales) et une forte autonomie du secteur privé. Cette décentralisation complique les efforts de coordination entre acteurs publics et privés, entre différents échelons de gouvernement.

L’administration Biden avait engagé un effort significatif pour construire un partenariat public-privé, en instaurant notamment des institutions fédérales de coordination (comme la CISA), en renforçant la collaboration avec les entreprises de cybersécurité, et en imposant de nouvelles exigences aux opérateurs d’infrastructures critiques. La plupart des échelons politiques ont compris qu'ils ne pouvaient pas se défendre tout seul. Ce qui a le mieux fonctionné sont les partenariats entre les agences fédérales, telles que la CISA, le FBI ou la NSA, et les entreprises privées de cybersécurité. Ils ont construit des plateformes assez intéressantes de partage d'informations qui permettaient de lutter contre les menaces.

Mais pour les autres acteurs du privés, cela a été plus compliqué. Il a été difficile pour l'administration Biden d'expliquer aux entreprises numériques que leur rôle était de promouvoir la sécurité par défaut, dès la conception, et de ne pas reporter le fardeau de la sécurité sur l'utilisateur. De plus, cela a été aussi difficile avec les opérateurs d'infrastructures critiques (toutes les entreprises de services essentiels comme le transport) à qui il a fallu imposer des réglementations et inciter à prendre en charge leur propre cybersécurité.

Cependant, cette dynamique est aujourd'hui remise en cause par l'administration Trump, qui privilégie une approche décentralisée : elle considère que les autorités locales et le secteur privé doivent assumer seuls leur propre cybersécurité, sans dépendre d'une coordination fédérale forte.

Peut-on déjà voir des conséquences concrètes de ce retour en arrière opéré par l'administration Trump ?

Pour l’instant, les effets concrets doivent être observés avec prudence. Un premier indice, cependant, est la nette diminution du nombre d'alertes et d'informations diffusées par les agences fédérales, telles que la CISA, le FBI ou la NSA. Cela pourrait indiquer non pas une réduction des menaces, mais plutôt un affaiblissement des mécanismes de détection, de coordination et d'alerte. Et cela prouverait peut-être que les outils ne fonctionnent plus. Parallèlement, les menaces classiques — espionnage russe et chinois, activités de groupes iraniens, etc. — restent à un niveau élevé selon les rapports émanant du secteur privé.

On constate également une inquiétude croissante des acteurs privés, qui se sentent aujourd'hui davantage démunis face aux menaces, en l'absence d’un appui fédéral structurant. Les secteurs les plus vulnérables sont notamment les infrastructures critiques, comme les transports énergétiques ou le traitement de l’eau. Enfin, un autre domaine sensible est la sécurisation des élections, reconnue comme infrastructure critique : la réduction de l’engagement fédéral pourrait fragiliser les prochaines échéances électorales.

Peut-on comprendre la logique du désengagement de l’État fédéral sous Trump, tout en ayant en même temps ula volonté d'Elon Musk de s'accaparer les données avec son ministère ?

Il existe plusieurs explications. Tout d'abord, Trump adhère à une vision classique du fédéralisme américain : la cybersécurité devrait être du ressort des autorités locales et du secteur privé, l’État fédéral ne devant pas centraliser cette responsabilité. Mais dans le contexte de la cybersécurité, cette vision est contre-productive car la cybersécurité se caractérise par une coordination globale à grande échelle.

Et le DOGE (Département de l'Efficacité gouvernementale) de Elon Musk pose un problème de cybersécurité car il accroit la vulnérabilité des systèmes informatiques des bases de données fédérales, alors que la CISA avait joué un rôle moteur depuis 2021 pour renforcer la capacité des ministères et agences à se renforcer. Et aussi parce que le DOGE a pris le contrôle de données auquel il n'aurait pas dû avoir accès.

Ensuite, il faut noter un facteur politique : Trump nourrit une profonde méfiance à l’égard de ce qu’il appelle le « Deep State » (État profond), c’est-à-dire l'appareil administratif fédéral, qu'il estime hostile à sa personne. À ses yeux, affaiblir cet appareil répond donc aussi à une logique de revanche contre des institutions perçues comme ayant œuvré contre lui, notamment après les contestations électorales de 2020 et ce qu'il a appelé la Chasse aux sorcières.

Assiste-t-on à une privatisation de la gouvernance numérique ?

Il y a effectivement un retour vers plus de privatisation de la gouvernance numérique. Cela dit, il faut être prudent : dans certains domaines, sous une administration Trump, on pourrait assister à un durcissement vis-à-vis des grands acteurs du numérique. Des procédures antitrust avaient été lancées lors du premier mandat de Trump, poursuivies ensuite par l'administration Biden, et elles pourraient être intensifiées contre des acteurs comme Google, Microsoft et surtout Meta. Certaines autorités administratives indépendantes, aujourd'hui contrôlées par les Républicains, deviennent même des instruments politiques. C'est le cas de la Commission fédérale du commerce (FTC) ou encore de la Commission fédérale des communications (FCC), cette dernière cherchant, sous couvert de défendre la liberté d’expression, à contrôler davantage les acteurs numériques.

Il faut donc s’attendre à une approche sélective : une dérégulation qui profiterait à certains, mais un renforcement du contrôle pour d’autres. Je parlerais plutôt d’un retrait et d’un désengagement de l’État, ce qui ne veut pas dire un avantage systématique pour le secteur privé. Cela dit, dans certains secteurs, une forme de privatisation pourrait s’amorcer, notamment dans la gestion des contrats fédéraux, du service des impôts ou encore de la sécurité sociale américaine.

La fiabilité perçue de la cybersécurité américaine par ses alliés, est-elle clairement affaiblie?

Oui, cela affaiblit considérablement la crédibilité des Etats-Unis. D’abord, dans le domaine du renseignement. Le premier rôle du cyberespace reste l'espionnage. Et la collaboration historique entre les États-Unis et ses alliés proches comme le Canada, le Royaume-Uni, la Nouvelle-Zélande et l’Australie (les "Five Eyes") est fragilisée. La gestion récente des opérations offensives, notamment vis-à-vis de la Russie, a semé le doute. Trump a annoncé l'arrêt des opérations offensives conte la Russie, puis a retropédalé en annonçant après que ce n'était pas le cas. Mais c'est probablement ce qui est en train de se passer.

Ensuite, concernant le partage des données : depuis 2015, les tentatives de stabiliser les transferts de données personnelles entre l’Europe et les États-Unis restent insatisfaisantes. L’administration actuelle pourrait inciter à un "dérérisquage", à un découplage numérique entre l’Europe et les États-Unis. Enfin, concernant la modération des contenus : la suspension du fact-checking sur Facebook aux États-Unis, couplée aux tensions avec l'Union européenne, montre une polarisation politique croissante. Sur ces trois piliers — renseignement, transfert des données, modération des contenus — les relations transatlantiques se détériorent. Et cela pose un problème surtout pour les Etats-Unis.

Cette dépendance affecterait la souveraineté des états ?​

La souveraineté, je ne sais pas. Mais la capacité des États-Unis à continuer de profiter du cyberespace global est remise en question. Cette remise en cause s’inscrit dans un contexte mondial où des alternatives émergent, notamment en Chine et en Russie, avec leur propre cybersouveraineté. L'Europe, depuis 2017 et encore plus depuis 2022 avec l’invasion de l’Ukraine, a renforcé ses instruments de défense numérique, ce qui fragilise davantage la position américaine. L'administration a peut-être mal mesuré ce risque ou a cru que les Européens plieraient. J'ai l'impression qu'ils ont vision des Européens très apocalyptique et qu'ils ne voient pas le renforcement des outils de défense de l'Europe, y compris contre les USA.

Quel rôle joue le cyber dans la stratégie de dissuasion ? Les États-Unis ont-ils une approche plutôt offensive ou défensive dans le cyberespace ?

Concernant la stratégie de dissuasion cyber, historiquement, les États-Unis ont utilisé le cyber offensif principalement pour le renseignement et pour la dissuasion d’attaques cyber ennemies. Des opérations spécifiques comme Stuxnet contre l’Iran (2010) ou contre l'État islamique (2017) sont des exceptions. Globalement, jusqu'à présent, l'utilisation offensive du cyber n'était pas systématique. Toutefois, avec l’évolution récente, on peut imaginer une utilisation plus large des cyber-opérations offensives pour causer des paralysies ciblées, marquant une transition d’une dissuasion strictement cyber à une dissuasion plus globale.

Quelles leçons les autres puissances (Chine, Russie, UE) pourraient-elles tirer du désengagement ?

Du côté chinois, on constate une adaptation : Pékin semble vouloir répondre plus fermement et emprunter certaines méthodes américaines, notamment en intensifiant l’attribution publique des cyberattaques. Côté russe, peu de changements majeurs sont visibles, mais on peut anticiper une intensification des opérations d’information et d’espionnage. L’échéance des élections américaines de mi-mandat en 2026 sera un moment clé à surveiller.

La doctrine a-t-elle beaucoup évolué depuis la guerre en Ukraine ?

La guerre en Ukraine a accéléré des évolutions : d’une part, elle a renforcé l’idée que la cybersécurité est un travail d’équipe impliquant davantage de partenaires extérieurs comme l’Ukraine. Elle est extrêmement importante pour l'appareil de cybersécurité américaine car c'est à travers l'Ukraine que les Etats-Unis obtiennent des informations sur la menace cuber russe. Le United States Cyber Command en tire des bénéfices. D’autre part, elle a confirmé l’approche proactive qui consiste à contrer les menaces au plus près de leur source.

Comment l'OTAN s’adapte-t-il aux enjeux cyber, avec un pied de chaque côté ?

S’agissant de l'OTAN, l’Alliance a intégré la menace cyber depuis plusieurs années. Depuis le sommet de Varsovie en 2016, elle cherche à bâtir une réponse commune aux menaces numériques, sans pour autant créer une cyberdéfense commune. Des mécanismes de contribution collective ont été mis en place. En outre, le cyber est désormais pleinement intégré aux réponses face aux menaces hybrides, aux côtés des sabotages physiques et des opérations d'influence.

Le DOGE représente-t-il un précédent pour une nouvelle forme de guerre hybride mêlant cyberspace et réformes administratives ?

Concernant l'affaire du DOGE et Elon Musk (liée à une tentative d’utilisation de ressources privées pour contourner des procédures légales), certains parlent d'un "auto-coup", plutôt que de "guerre hybride". C’est en tout cas une tentative, de l’intérieur du pouvoir, de contourner les garde-fous institutionnels pour conserver le contrôle, sans intervention extérieure.

La France ou l’Europe ont-elles les moyens de rattraper leur retard stratégique dans le domaine ?

Cela dépend de ce qu’on vise. Remplacer les grandes plateformes américaines est peu probable à court terme. En revanche, l'Europe conserve un atout considérable : sa puissance régulatrice, sa capacité à imposer des standards mondiaux via la régulation (comme avec le RGPD). Cela influence les pratiques même d’acteurs extra-européens. En parallèle, sur certaines infrastructures critiques, l’Europe peut réduire ses vulnérabilités et dépendances stratégiques, ce qu'on appelle le dérisquage. C'est possible. Mais il faudra accepter que la souveraineté numérique européenne soit toujours relative et sectorielle plutôt qu’absolue, comme nous la concevons en France. Quel est le périmètre sur lequel on accepte un certains nombres de risques ?