Cybersécurité : la France est-elle prête pour les JO 2024 ?

C’est la question à un million de dollar, celle qui fait couler tant d’encre et déchaîne les passions à près de six mois de l’échéance. Entre optimistes et pessimistes, l’interrogation est la même dans toutes les têtes : serons-nous prêts ? Serons-nous prêts à affronter la vague de cyberattaques qui devrait immanquablement s’abattre sur la France, avec des criminels qui ne s’embarrasseront pas d’un billet d’entrée pour participer aux festivités ?

Un contexte inquiétant face à la multiplicité des menaces

Les chiffres sont édifiants. Lors des derniers Jeux Olympiques en 2021, le Japon, pays hôte de l’événement a enregistré près de 450 millions de tentatives de cyberattaques en seulement deux semaines. Lors des précédentes éditions, des incidents d’ordre informatique avaient déjà donné de belles frayeurs aux organisateurs à l’instar des JO de 2018 à P’yongch’ang.

Le malware Olympic Destroyer avait perturbé le déroulé de l’évènement en attaquant le réseau internet du stade, complexifiant la retransmission télévisée de la cérémonie d’ouverture, ainsi que le site officiel des Jeux : les spectateurs n’avaient alors pas pu récupérer leurs billets.

Les risques de cyberattaques n’étant donc pas le fruit d’une énième paranoïa collective, mais d’une menace belle et bien réelle, elle est d’ailleurs prise très au sérieux par le Comité d’organisation pour Paris24, comme l’a rappelé le RSSI de Paris JO 2024, Franz Regul, lors des dernières Assises de la Cybersécurité. Il a également annoncé que le nombre d’attaques devrait être huit à dix fois supérieurs à celui des JO de Tokyo, et devrait donc avoisiner les 3 milliards de tentatives.

A première vue, on pourrait penser que la France est un pays habitué à accueillir des événements majeurs. Pour autant, la portée mondiale de ces jeux apporte une exposition inégalée et inégalable. Les derniers en date avaient attiré 3 milliards de téléspectateurs, un chiffre deux fois supérieur à la finale de coupe du monde de football 2022 – au résultat encore douloureux.

En outre, il est fort à parier que la France ne sera pas exempte de tentatives de déstabilisations, aux moyens de sabotages informatiques liés à ses prises de positions politiques dans des conflits internationaux ou sur des sujets sociétaux.

Des groupes de cybercriminels privés, mais affiliés et financés par des pays et agissant pour son compte (APT), sont notoires pour ce type de méfaits. De la même façon, des groupes d’hacktivistes pourraient profiter de la couverture médiatique de ces Jeux pour promouvoir leurs causes et revendications dans un contexte géopolitique de plus en plus polarisé.

Quels acteurs pour la cybersécurisation des JO 2024 ?

En plus de la menace physique, le Comité des JO concentre ses efforts sur le numérique, avec un budget de 17 millions d’euros attribué pour la cybersécurité d’après un dernier rapport de la Cour des Comptes. Une somme bien maigre sur l’enveloppe de 450 millions allouée à la sécurité globale des Jeux, sachant que l’infrastructure IT des jeux s’articule autour de 200 applications, d’une centaine de sites web et de près de 12 000 postes de travail.

En outre, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) s’est formellement vue confier la gouvernance de la cybersécurité, le 25 juillet 2022 – à seulement un an de l’échéance. Depuis l’été 2022, ses agents auditent les différents sites, collectivités et infrastructures qui accueilleront les épreuves, et mettent en place des plans d’action pour garantir la résilience de ces systèmes face aux différents assauts.

L’ANSSI n’est toutefois pas seule dans l’accomplissement de ce travail titanesque. Elle bénéficie également de l’appui de prestataires privés. En effet, des Centres opérationnels ont été mis en place pour surveiller, en temps réel, les événements et assurer leur bon déroulé, et le soutien des infrastructures SI.

Le Technology Operation Center, né de la collaboration entre le partenaire historique des Jeux, Atos et le Comité d’organisation, a récemment ouvert ses portes avec pour vocation de garantir le maintien, la stabilité et l’implémentation de l’IT tout du long de l’événement. Du côté SOC (Security Operation Center), l’équipementier Cisco sera chargé de surveiller l’ensemble du SI pour détecter toute activité suspecte, dysfonctionnement ou vulnérabilité.

Le mot d’ordre pour ces JO est clair : Zero Trust, pour un objectif zéro incident. Du côté de l’organisation des Jeux, il semblerait que tous les moyens aient été pris pour faire face au déferlement d’attaques à vocations lucratives ou politiques, mais qu’en est-il des acteurs privés ?

Anticipation et préparation : un effort payant ?

Si tous les secteurs, qu’ils soient privés, publics, industriels ou prestataires de services, s’attendent à une augmentation significative de la menace, tous n’ont pas (encore) pris les mesures nécessaires à leur résilience informatique. En effet, un rapport récent mettait en lumière un taux de maturité cyber de 49% pour les organismes français avec de fortes disparités sectorielles, un chiffre néanmoins en constante évolution d’une année sur l’autre.

Le ComCyberMi et l’ANSSI, en charge du soutien opérationnel pour la réaction et l’accompagnement des victimes de cyberattaques, ont, eux, d’ores et déjà anticipé l’explosion des besoins en organisant notamment l’astreinte des équipes, ainsi que des exercices de préparation à la gestion de crise cyber pour supporter le nombre accru de victimes sur la période des Jeux.

Nonobstant une préparation des acteurs publics, les entreprises demeurent responsables d’une démarche de proactivité et doivent, pour ce faire, allouer les ressources financières proportionnelles aux risques encourus, tout en mettant l’appui sur leurs capacités de défenses.

La France, qui n’avait pas accueilli les JO d’été depuis un siècle, doit s’armer face à cette nouvelle menace sécuritaire, à laquelle elle devra répondre présente pour se montrer à la hauteur de l’événement. Si l’ensemble des acteurs jouent le jeu de la sécurité, les Jeux Olympiques de Paris ne se contenteront pas d’offrir un spectacle sportif d’exception, mais incarneront également un modèle de cybersécurité parfaitement maîtrisé.

Crédit logo/image : © DR

Marie Drecq, Consultante sécurité GRC - Synetis.