Hors collection - Quels droits face aux innovations numériques ? - 1re - 139

CHAPITRE 2 - UNE

DÉLINQUANCE BASÉE SUR DES CYBERATTAQUES

139

l'objet d'un signalement au procureur de la République en application des dispositions de l'article 40
du Code de procédure pénale.
De son côté, l'ANSSI « préserve la confidentialité de l'identité de la personne à l'origine de la transmission, ainsi que des conditions dans lesquelles cette transmission a été effectuée » et peut également
« procéder aux opérations techniques strictement nécessaires à la caractérisation du risque ou de la
menace lui étant présentée pour avertir l'hébergeur, l'opérateur ou le responsable du système
d'information ».
Cependant, la dispense de signalement ne fait pas obstacle à l'exercice de l'action publique, le procureur de la République pouvant donc poursuivre la personne à l'origine de la transmission s'il estime
que l'infraction est constituée. Il n'existe donc pas à ce jour d'exemption pénale pour les lanceurs
d'alerte de sécurité informatique.

§4. La question épineuse de la légitime défense
252. Contexte - Le débat sur les pratiques de hack back, c'est-à-dire de défense offensive, est un
serpent de mer. Dans le cyberespace, l'État ne dispose pas du monopole des capacités offensives et
certaines entreprises jouissent d'outils offensifs (exploits, outils de surveillance, etc.) qui leur permettraient de conduire des représailles cybernétiques.
253. Les conditions strictes d'applicabilité du principe de légitime défense aux cyberattaques -
Aucune législation spécifique n'autorise les entreprises à répondre de manière active aux cyberopérations qu'elles subissent et de ce point de vue la doctrine de l'ANSSI est de ne pas reconnaître le droit
aux entreprises privées d'agir elles-mêmes. La France n'envisage pas d'ailleurs de modifier pour le
moment sa doctrine, à la différence des États-Unis où l'Active Cyber Defense Certainty Act pourrait
être votée lors de la prochaine session 2019-2020 afin de permettre aux entreprises privées de
répondre de manière offensive aux cyberattaques.
Néanmoins, il n'est pas interdit d'envisager une réponse légale si celle-ci s'inscrivait dans les conditions des articles 122-5 et 122-6 du Code pénal, qui posent les critères permettant de qualifier un
acte de défense illégal de « légitime ». Il convient alors que :
- la réponse soit imminente, c'est-à-dire conduite dans un délai très réduit après l'acte d'agression
illégal et injustifié ;
- le seul objectif poursuivi par cette réponse soit de faire cesser l'attaque, et avec une réponse strictement nécessaire à la poursuite de ce but, la vengeance n'ayant pas sa place ici.
254. En pratique : le risque de dommage collatéral - Dans la pratique, le respect de ces critères sera
difficile à garantir. La concomitance de la réponse doit être mesurée à la difficulté d'identifier rapidement les auteurs de l'attaque initiale. Quant au critère de nécessité, il pose la difficulté d'être en
mesure de limiter les effets de l'attaque dans le système d'information de l'adversaire. Toutefois, la
probabilité qu'un pirate ayant subi une réponse offensive poursuive l'entreprise en question reste en
effet relativement faible, au vu de la publicité qu'une enquête à ce sujet dévoilerait, levant ainsi le
voile sur les activités non moins suspectes du pirate originel.
Le risque est en revanche plus élevé en cas de victimes collatérales. En matière de cyberattaque,
l'identification des auteurs reste l'équation la plus difficile à résoudre lorsqu'il s'agit, pour la victime,
de contre-attaquer.
Ce risque doit conduire les entreprises à privilégier en premier lieu le renforcement de leur défense.
Ainsi, le responsable de la sécurité des systèmes d'information (RSSI) peut se servir des avancées

Hors collection - Quels droits face aux innovations numériques ? - 1re

Table des matières de la publication Hors collection - Quels droits face aux innovations numériques ? - 1re