Cybersécurité et relations internationales

La cybersécurité, dans les relations internationales, désigne les règles et les capacités qui protègent les systèmes numériques dont dépendent les États et les sociétés. Le sujet commence avec la sécurité informatique. Il devient international lorsqu’une opération numérique modifie la marge de manœuvre politique d’un gouvernement. Un hôpital paralysé, des communications diplomatiques volées ou une élection manipulée peuvent contraindre les autorités à traiter l’incident comme plus qu’une panne technique. Le problème touche alors la souveraineté, la confiance publique et la stabilité entre États.

L’agenda s’est développé parce que les fonctions publiques ont migré vers des infrastructures connectées. Administrations, banques centrales, forces armées et fournisseurs de services essentiels utilisent des réseaux qui traversent les frontières. Une faille logicielle, des identifiants volés ou un fournisseur compromis peuvent produire des effets politiques loin du point de départ de l’intrusion. La cybersécurité transforme la sécurité internationale en convertissant la dépendance numérique en vulnérabilité stratégique. Le même réseau peut soutenir les services publics et le renseignement, ou devenir un canal de profit criminel, de coercition et de préparation militaire.

Résumé

• La cybersécurité est entrée dans l’agenda international dès que des opérations numériques ont pu toucher des services essentiels, des secrets d’État et des élections sans occupation territoriale.
• L’attribution est difficile quand les attaquants se cachent derrière des infrastructures intermédiaires, des mandataires et des traces techniques trompeuses.
• La dissuasion dans le cyberespace combine résilience, défense et punition afin de réduire le bénéfice attendu d’une opération hostile.
• L’ONU a consolidé des normes volontaires de comportement responsable des États, mais aucun traité universel ne régit encore toutes les opérations cyber entre États.
• La coopération internationale est indispensable aux enquêtes qui dépendent de preuves électroniques et de fournisseurs de services situés dans plusieurs pays.

Le cyberespace comme domaine de conflit

Le cyberespace est souvent décrit comme un cinquième domaine de conflit, à côté des domaines militaires plus anciens. La comparaison est utile : les réseaux numériques peuvent porter le commandement, le renseignement et la pression stratégique. Elle appelle cependant de la prudence. Le cyberespace repose sur une base civile faite d’infrastructures privées, de logiciels commerciaux et d’appareils ordinaires qui traversent les frontières juridiques et politiques.

Dans ce cadre, une opération cyber appartient rarement à une seule catégorie. Une attaque par déni de service peut sembler être une perturbation temporaire, mais elle prend un poids stratégique si elle rend indisponibles des banques, des portails publics ou des services d’urgence pendant une crise. Une intrusion dans un réseau gouvernemental peut relever de l’espionnage, préparer un sabotage futur ou s’inscrire dans une campagne de coercition. Une opération d’influence appuyée par des courriels piratés peut agir sur le débat public sans détruire aucun équipement physique.

L’ambiguïté relie la cybersécurité à la diplomatie numérique et au hard power. Quand un État utilise des outils numériques pour communiquer, fournir des services ou négocier des règles techniques, il agit dans le champ diplomatique. S’il emploie une opération cyber pour accroître le coût de la résistance d’un autre État, le mécanisme se rapproche du pouvoir coercitif. Le même environnement technologique peut soutenir la coopération et l’influence. Dans un conflit politique, il peut rapidement basculer vers l’espionnage ou la pression.

Types d’attaques et d’incidents

Les opérations cyber varient selon leur objectif. L’espionnage cherche des informations de valeur, depuis les messages diplomatiques jusqu’à la planification militaire. Le sabotage vise à rendre un système peu fiable ou inutilisable, surtout lorsqu’il touche des réseaux électriques, des processus industriels ou des services publics. Le rançongiciel bloque l’accès pour obtenir un paiement. Il devient une question de sécurité nationale quand la victime est un hôpital, un oléoduc, un tribunal ou une administration. Les campagnes d’influence numérique utilisent des documents volés, des comptes coordonnés et des messages ciblés pour agir sur la confiance ou les élections.

Plusieurs épisodes permettent de comprendre l’évolution du problème. Les attaques contre l’Estonie en 2007 ont fait tomber des sites et services numériques au milieu d’un différend politique avec la Russie, rendant visible la vulnérabilité d’un État très connecté. Stuxnet, découvert en 2010, a montré qu’un code malveillant pouvait agir sur des équipements industriels liés au programme nucléaire iranien. Les révélations d’Edward Snowden, en 2013, ont exposé l’ampleur de la surveillance électronique des États-Unis et provoqué des crises diplomatiques avec des alliés et partenaires. L’ingérence russe dans l’élection présidentielle américaine de 2016 a montré comment intrusion, fuite et manipulation informationnelle pouvaient agir sur la politique intérieure d’une grande puissance.

D’autres cas montrent le passage du dommage numérique au coût économique et social. WannaCry, en 2017, a touché des ordinateurs dans de nombreux pays et perturbé une partie du système de santé britannique. NotPetya, la même année, a commencé en lien avec l’Ukraine, mais a causé des pertes à des entreprises mondiales. L’intrusion SolarWinds, révélée en 2020, a compromis une chaîne d’approvisionnement logicielle et atteint des organismes publics et des entreprises. L’attaque contre Colonial Pipeline, en 2021, a provoqué l’arrêt temporaire d’un grand oléoduc américain et montré qu’un rançongiciel privé pouvait produire des conséquences publiques.

Ces épisodes montrent que le dommage cyber prend une signification internationale quand il modifie la capacité d’un État à servir la population, protéger ses secrets et négocier sous pression. Les incidents techniques deviennent stratégiques dès qu’ils changent les conditions politiques de l’action publique. L’Estonie a rendu visible la dépendance des services publics aux systèmes en réseau. Stuxnet a déplacé le débat vers les équipements industriels. L’affaire Snowden a ébranlé la confiance entre alliés, tandis que Colonial Pipeline a rapproché criminalité privée, infrastructure critique et sécurité énergétique.

Pourquoi l’attribution est difficile

L’attribution consiste à identifier qui a mené une opération cyber et qui l’a ordonnée, soutenue ou tolérée. Elle associe l’analyse technique à une décision politique. Les preuves comptent, tout comme le moment où un gouvernement veut attacher des conséquences diplomatiques à ces preuves. Les analystes examinent les traces techniques, comparent les méthodes et évaluent les cibles. L’accusation publique intervient si les autorités jugent que les éléments disponibles, le renseignement classifié et le coût diplomatique justifient de nommer un autre État.

La difficulté commence avec la dissimulation. Les attaquants peuvent faire passer l’opération par des serveurs tiers ou des ordinateurs compromis. Ils peuvent aussi réutiliser des outils volés, recruter des groupes criminels ou laisser de fausses pistes. En outre, le fait qu’une opération utilise une infrastructure située dans un pays ne prouve pas à lui seul que le gouvernement de ce pays l’a dirigée. Cette distinction apparaît dans les débats du Manuel de Tallinn et dans les rapports des Nations unies sur le comportement responsable des États : le contexte, les conséquences, la capacité technique et les liens avec des acteurs étatiques doivent être évalués ensemble.

L’attribution publique peut également servir d’instrument de pression. Quand des gouvernements exposent un opérateur, imposent des sanctions ou lancent des poursuites pénales, ils cherchent à réduire l’impunité et à signaler des coûts. Cette exposition ne suffit pas toujours à empêcher de nouvelles intrusions. Dans beaucoup de cas, la réponse publique atteint des opérateurs et des entités intermédiaires, tandis que la structure étatique qui bénéficie de l’opération conserve une marge de dénégation.

L’attribution fonctionne mieux lorsqu’elle s’inscrit dans une politique de réponse. Une accusation publique peut préparer des sanctions, justifier une coopération policière, alerter des entreprises vulnérables ou créer une base diplomatique pour une action conjointe entre alliés. Si l’accusation reste isolée, l’attaquant peut absorber le coût réputationnel et continuer par d’autres canaux. La question centrale est de savoir quels coûts politiques, juridiques ou opérationnels l’attribution peut produire après l’identification de l’attaquant, et si ces coûts modifient les calculs futurs.

Dissuasion : déni, punition et résilience

La dissuasion cyber vise à convaincre un adversaire qu’une attaque ne lui procurera pas assez d’avantages. Dans le cyberespace, elle repose rarement sur une seule menace. Le déni rend l’opération plus difficile ou moins utile. La punition fait attendre des coûts à l’attaquant. La résilience maintient les services essentiels et permet de rétablir rapidement les systèmes.

La dissuasion par déni commence par une défense pratique. Elle corrige les vulnérabilités, sépare les réseaux sensibles, renforce l’authentification et prépare le rétablissement. Son effet politique est direct : si l’attaquant ne peut pas produire un dommage significatif, l’opération perd sa valeur stratégique. Cette forme de dissuasion est moins visible qu’une menace militaire. Pour les fournisseurs de services essentiels, elle est souvent plus décisive, car elle refuse à l’attaquant une crise exploitable.

La dissuasion par punition peut prendre la forme de sanctions, d’expulsions diplomatiques ou de procédures pénales. Elle peut aussi passer par l’exposition publique, des opérations cyber de réponse ou des mesures conventionnelles. Elle est plus difficile à calibrer parce que beaucoup de cyberattaques restent sous le seuil de l’emploi de la force armée. Une réponse excessive peut aggraver la crise, tandis qu’une réponse faible peut renforcer l’impression d’impunité. Beaucoup de gouvernements cherchent donc à construire une échelle de réponses. Celle-ci associe droit interne, alliances, renseignement, diplomatie publique et coopération avec les entreprises.

La logique distingue la dissuasion cyber de la dissuasion nucléaire classique. Dans le domaine nucléaire, la menace principale est généralement exceptionnelle, visible et concentrée entre un petit nombre d’acteurs. Dans le cyberespace, l’activité hostile peut être continue et peu coûteuse, tandis que les intermédiaires donnent au parrain une marge de recul. La défense quotidienne, la redondance des systèmes et le rétablissement rapide deviennent une partie de la dissuasion elle-même. Ils réduisent le gain politique d’une intrusion avant qu’une punition soit nécessaire. La résilience devient un actif diplomatique.

Normes internationales et coopération

L’ONU traite les technologies de l’information et de la communication dans le contexte de la sécurité internationale depuis la fin des années 1990. Le Groupe d’experts gouvernementaux de 2019-2021, présidé par le diplomate brésilien Guilherme Patriota, a réaffirmé que les menaces numériques étaient devenues plus larges et plus sophistiquées. Son rapport a aussi consolidé l’idée que le droit international s’applique au comportement des États dans le cyberespace et que des normes volontaires peuvent réduire les risques.

Ces normes orientent les États vers une retenue pratique. Elles insistent sur la coopération, la protection des infrastructures critiques et l’assistance à la demande d’un État. Elles évoquent aussi le respect des droits, la protection des équipes d’intervention d’urgence et la prévention de l’usage malveillant du territoire national si un État a la capacité d’agir. L’enjeu pratique est clair : aucune autorité mondiale ne peut surveiller tous les réseaux. La stabilité dépend de conduites minimales, de canaux de contact, de mesures de confiance et de capacités nationales. Elle ne dépend pas de l’idée d’une police mondiale unique de l’internet, mais d’une responsabilité distribuée.

Le Groupe de travail à composition non limitée de l’ONU sur les TIC, doté d’un mandat de 2021 à 2025, a élargi la participation des États et discuté d’un mécanisme permanent pour poursuivre ce processus. En parallèle, la Convention de Budapest, en vigueur depuis 2004, fournit une base juridique pour la cybercriminalité et la coopération sur les preuves électroniques. La Convention des Nations unies contre la cybercriminalité, adoptée en 2024 et ouverte à la signature à Hanoï en 2025, cherche à créer un cadre mondial pour la coopération pénale, le partage de preuves électroniques et l’assistance technique. Ses effets dépendront toutefois des ratifications, des lois nationales et des garanties relatives aux droits.

La différence entre ces instruments compte. Les rapports de l’ONU sur le comportement des États traitent surtout de stabilité stratégique : ce que les États doivent éviter et comment ils peuvent réduire les risques de crise. La Convention de Budapest et la nouvelle convention de l’ONU relèvent plutôt de l’axe pénal, avec les infractions, les enquêtes, les preuves électroniques et l’entraide judiciaire. La distinction sépare la gestion politique du risque de la coopération d’enquête sur les preuves numériques. Les deux agendas se rejoignent lorsqu’une opération a l’apparence d’un crime, franchit les frontières et profite en même temps à un gouvernement ou exerce une pression sur un autre État.

Souveraineté, droits et secteur privé

La cybersécurité crée une tension permanente entre souveraineté et interdépendance. Les États veulent protéger les réseaux nationaux, les données sensibles et les infrastructures critiques. En même temps, internet fonctionne grâce à des protocoles, des entreprises, des câbles et des services qui franchissent les frontières. Un gouvernement peut exiger un contrôle local des données pour protéger les citoyens, mais il peut aussi utiliser le langage de la sécurité pour justifier la surveillance, la censure ou l’isolement technologique.

Le secteur privé rend la tension plus complexe. Les éditeurs de logiciels, les fournisseurs de cloud, les opérateurs de télécommunications, les plateformes numériques et les entreprises de cybersécurité contrôlent des parties essentielles de l’infrastructure. Les États dépendent de ces entreprises pour prévenir les attaques, détecter les intrusions, préserver les preuves et rétablir les systèmes. La cybersécurité internationale est un champ de négociation entre gouvernements, autorités de sécurité, régulateurs, communautés techniques et entreprises dont les incitations ne coïncident pas toujours.

La dépendance transforme aussi la diplomatie de crise. Un gouvernement peut avoir besoin de journaux techniques conservés par une entreprise étrangère, d’une mise à jour d’urgence produite par un fournisseur privé ou de la coopération de plateformes pour contenir une campagne d’influence. Si ces entreprises sont établies dans un autre pays, la réponse engage le droit interne, les traités d’entraide judiciaire, les relations diplomatiques et la confiance entre régulateurs. La souveraineté numérique désigne la capacité de négocier, de réguler et de protéger des dépendances transfrontalières, sans confondre sécurité et fermeture politique.

Le Brésil dans l’agenda cyber

Le Brésil est entré dans cet agenda par plusieurs voies. Sur le plan interne, le Marco Civil da Internet de 2014 a établi des principes tels que la liberté d’expression, la protection de la vie privée, la neutralité du réseau et la stabilité d’internet. La loi générale sur la protection des données de 2018 a renforcé la dimension des données personnelles. Dans la défense, l’armée de terre a assumé un rôle central dans la cyberdéfense, avec des structures comme le Centre de cyberdéfense et le Commandement de cyberdéfense.

Sur le plan international, le Brésil défend un équilibre entre sécurité, droits humains, vie privée, internet ouvert et gouvernance multipartite. L’adhésion brésilienne à la Convention de Budapest, en 2022, a élargi les instruments de coopération judiciaire pour les cybercrimes. À l’ONU, des diplomates brésiliens ont joué un rôle important dans les groupes d’experts sur le comportement responsable des États. Cette action reflète une position récurrente : combattre les crimes et les attaques numériques sans transformer la cybersécurité en autorisation de contrôle politique du réseau.

Dans ce cadre, la position brésilienne cherche à tenir ensemble coopération policière, protection des droits et gouvernance ouverte du réseau.

L’expérience brésilienne montre aussi pourquoi les capacités nationales et la coopération extérieure avancent ensemble. Des structures comme le Centre de cyberdéfense, le Commandement de cyberdéfense, le CTIR Gov et CERT.br contribuent à organiser la prévention, l’alerte et la réponse dans le pays. Pourtant, des fuites de données, des attaques contre des organismes publics et des enquêtes sur des rançongiciels peuvent impliquer des serveurs, des paiements, des auteurs et des victimes situés dans des juridictions différentes. Sans coopération rapide sur les preuves électroniques, la capacité interne reste incomplète. Ce point fait de la politique cyber une question de diplomatie, de justice pénale et de préparation technique.

Les limites de la dissuasion cyber

La cybersécurité n’élimine pas le conflit international. Elle réduit les risques lorsqu’elle améliore la défense, crée des canaux de communication, augmente les coûts pour les attaquants et offre des mécanismes juridiques de coopération. La logique du cyberespace favorise néanmoins les opérations situées sous le seuil de la guerre ouverte. Espionnage, vol de données, sabotage limité et influence informationnelle peuvent être attractifs précisément parce qu’ils permettent d’obtenir des gains sans reconnaître publiquement la responsabilité.

C’est pourquoi l’agenda international de la cybersécurité combine technique et politique. Pare-feu, chiffrement et équipes de réponse sont indispensables. À eux seuls, ils ne définissent pas un comportement licite, ne construisent pas la confiance et ne contrôlent pas l’escalade. Les États ont besoin de normes, d’attribution responsable, de coopération policière, de protection des infrastructures critiques, de débats sur les droits et de canaux diplomatiques de crise. La stabilité cyber dépend de cette combinaison : capacité de défendre les systèmes, volonté de coopérer et clarté sur les usages numériques qui rendent la coexistence internationale plus dangereuse.

La stabilité cyber est une manière politique de gérer l’interdépendance numérique et ses vulnérabilités partagées entre États. Elle ne promet pas d’éliminer les intrusions. Elle cherche à éviter que des incidents techniques deviennent des crises diplomatiques, des ruptures de services essentiels ou une escalade militaire.