À Bruz (Ille-et-Vilaine), à une quinzaine de kilomètres au sud de Rennes, en pleine campagne, l’implantation de la Direction générale de l’armement (DGA) vit une profonde transformation. Spécialisé dans le domaine des communications électroniques et des technologies numériques, le site, qui regroupe environ 1 600 collaborateurs, développe à vitesse grand V son expertise en cyberdéfense. De nouveaux bâtiments ont poussé comme des champignons pour accueillir des centaines d’experts en chiffrement des données et autres as du codage… Des installations désormais aussi stratégiques que le bâtiment voisin, où sont testées les capacités de furtivité des avions de combat.
Pas de connexion à internet
Gendarme posté, digicode, passage au détecteur de métal… Pour accéder aux zones les plus sensibles du site, il faut montrer patte blanche. « Pour des raisons de sécurité, la plupart des zones ne sont pas connectées à internet », explique David*, le sous-directeur des activités du centre d’expertise cyberdéfense à Bruz. Impossible d’en savoir plus sur les développements réalisés à l’intérieur.
Dans l’une des salles accessibles, les experts, souvent en tenue civile, ont les yeux rivés sur leurs écrans. Ils mènent des travaux sur les cyberattaques visant les systèmes militaires. « On imagine le scénario où un équipage perd le contrôle de son hélicoptère suite à l’activation d’un logiciel malveillant en plein vol », raconte l’un d’entre eux. Autre scénario catastrophe : une frégate dont les moteurs sont passés sous la maîtrise d’un pirate… « Les vulnérabilités sont multiples. Par exemple, à l’occasion des opérations de maintenance, il est possible d’introduire un logiciel malveillant en branchant une clé USB », poursuit l’expert.
Pascal Guittet Au-delà des logiciels, les experts du ministère des Armées s’intéressent également aux failles potentielles présentes dans les composants électroniques des équipements de communication. © Pascal Guittet
Dans le centre, les équipes travaillent également sur les failles des composants électroniques eux-mêmes. « Grâce à une simple sonde électronique, on peut enregistrer l’activité électromagnétique d’un composant. À partir de là, on peut reconstituer la clé de chiffrement censée protéger le message », détaille un petit génie de l’électronique capable de mettre en échec avec une facilité déconcertante les systèmes les plus sécurisés. La DGA mise sur ce type de renforts pour consolider son expertise. « Nous allons accueillir 400 recrues supplémentaires d’ici à 2025 », indique Lionel Morin, le directeur du centre.
Une trentaine de formations
Avec la guerre dans l’espace, la guerre dans l’espace numérique figure parmi les priorités des armées. Pour changer d’échelle, l’effort est significatif. En 2025, les crédits militaires dédiés à la cyberdéfense depuis 2019 vont atteindre 1,6 milliard d’euros et à cet horizon, la France comptera 5 000 cybercombattants. Le risque cyber est bien réel. En 2017 déjà, le ministère des Armées détectait des tentatives de connexion sur les boîtes e-mail d’une dizaine de cadres impliqués dans la chaîne d’alimentation en carburant de la Marine nationale. Pour positionner ces bataillons de cyberdéfenseurs, le choix de la capitale rennaise s’est imposé comme une évidence.
Outre la proximité de la DGA, la métropole compte de nombreux laboratoires et établissements d’enseignement supérieur et de formation spécialisés dans la sécurité informatique. En réalisant une cartographie des acteurs privés et publics présents sur son territoire, elle a identifié une trentaine de formations, de l’IUT aux grandes écoles. Elles permettent de former plus de 1 000 étudiants par an. Les 70 sociétés recensées dans la cybersécurité cumulent plus de 3 400 experts et techniciens.
R. De Launet Tous les ans, la capitale bretonne, avec le soutien du ministère des Armées, organise l’European Cyber Week, qui accueille durant une semaine un large public de spécialistes de la cybersécurité. © R. De Launet
De quoi inciter le ministère des Armées à accélérer encore davantage son ancrage local. Fin 2019, le commandement de la cyberdéfense a établi son QG à Rennes, où la sensibilité des opérations interdit toute visite. Sa mission : planifier et conduire les opérations. Au total, le ministère des Armées compte 880 cybercombattants sur la plaque rennaise. « Rennes est la seconde ville en matière de création de start-up et la Bretagne la seconde région en création de postes de chercheurs en cybersécurité », revendique Jérôme Tré-Hardy, conseiller régional délégué à la cybersécurité, aux services numériques et aux données.
C’est sans surprise que le ministère a décidé d’installer en 2019 à Saint-Jacques-de-la-Lande, limitrophe de Rennes, un espace d’incubation pour les start-up : la cyberfactory. Situées dans cet immeuble d’entreprises aux larges fenêtres, trois jeunes pousses se partagent un modeste open espace de 220 m2, mais doté d’un mini-datacenter, de serveurs informatiques, de connexions haut débit, d’une salle de brainstorming… ainsi que d’un espace agrémenté de canapés pour les déjeuners sur le pouce. Bref, tout l’opposé du camp ultra-sécurisé de la DGA à Bruz. À dessein.
Méthodes agiles d’innovation
La cyberfactory est le symbole des nouvelles méthodes agiles pour capter et soutenir l’innovation issue du secteur civil. Les armées ont tiré les leçons de l’échec de l’Intelligence Campus, cet autre incubateur installé au sein même de la base aérienne de Creil (Oise), qui devait attirer les start-up du big data et de l’intelligence artificielle. Trop loin de Paris, trop de contraintes de sécurité pour accéder et travailler sur le site militaire… Les start-up l’avaient finalement boudé.
Celles qui ont pris position à la cyberfacory sont Malizen, LumenAI et Sahar, les deux premières spécialistes de la détection des cyberattaques, la dernière de l’analyse des réseaux sociaux. Elles bénéficient du soutien des experts en cyber et en IA de la DGA. « La première start-up hébergée, Glimps, est sortie de la cyberfactory. C’est très prometteur. On se pose la question de l’étape suivante et du besoin de locaux supplémentaires », indique le colonel Pierre-Arnaud Borrelly, commandant du Groupement de cyberdéfense des armées.
Glimps, fondé par quatre trentenaires, tous issus du centre de Bruz de la DGA, s’est désormais installé au Digital Square, un nouveau bâtiment situé dans la pépinière numérique en bordure de Rennes. La desserte par la future ligne de métro n’est pas son seul atout. « Nous avons équipé quelques salles pour qu’elles soient compatibles avec l’habilitation Confidentiel défense exigée pour travailler avec les militaires, avec notamment un accès sécurisé et une protection électromagnétique », détaille Paul-André Pincemin, le délégué à la cybersécurité et aux restructurations militaires de Rennes Métropole.
Un écosystème complet
- 3 280 emplois directs
- 1 000 étudiants formés par an
- 880 cybercombattants au ministère des Armées
Source : Audiar Rennes
Un tissu académique de premier ordre
Au sein de la pépinière, Glimps est l’une des start-up les plus prometteuses du moment. Dans son local, ambiance décontractée et concentration. La dizaine de jeunes développeurs a les yeux rivés sur les écrans, au milieu de rangements où se côtoient bibles de codage et de programmation, ouvrages de science-fiction et jeux de plateau… Vêtu d’un tee-shirt blanc frappé du logo orange de sa start-up, Valérian Comiti, le directeur des opérations, se réjouit de sa solution « capable de détecter un logiciel malveillant et ses variants en une fraction de seconde, contrairement aux solutions antivirales classiques ».
Dans la capitale bretonne, les militaires savent qu’ils peuvent compter sur la densité et l’expertise d’un tissu académique de premier ordre. Parmi les acteurs d’avant-garde, l’IMT Atlantique et sa chaire de cybersécurité des infrastructures critiques, dirigée par Marc-Oliver Pahl, originaire d’Allemagne. « En France, j’ai été surpris par la qualité des échanges entre le monde de la recherche et le monde militaire. En Allemagne, cette relation ne va pas de soi. Or les problématiques en matière de cybersécurité civile et militaire sont souvent similaires », reconnaît-il.
Dans son laboratoire, de grandes pièces rouges et noires Fischertechnik (un concurrent de Lego) interpellent sur le sérieux des études menées. « Il s’agit de maquettes représentant le fonctionnement d’une infrastructure critique dont les automates connectés, exactement identiques à ceux déployés dans les usines, pourraient être la cible d’une cyberattaque », précise le chercheur. En effet, pour ces spécialistes, un Rafale ou le porte-avions Charles-de-Gaulle peuvent être considérés comme des infrastructures critiques. Les travaux menés intéressent d’ailleurs au plus haut point Airbus Cybersecurity, qui a renouvelé son partenariat avec l’IMT Atlantique.
Anticiper la pénurie de compétences
En matière de cybersécurité, le ministère des Armées et la région Bretagne travaillent en partenariat depuis 2014 et sont à l’origine de la création du Pôle d’excellence cyber. « Dès le départ, nous avons identifié la pénurie de compétences comme le problème le plus critique », témoigne Paul-André Pincemin pour Rennes Métropole. La collectivité a réalisé un exercice de gestion prévisionnelle des emplois et des compétences à l’échelle de la région afin d’éviter, notamment, une course aux talents fratricides entre les armées, les organismes publics et les acteurs privés.
Pascal Guittet Secure-IC, spécialiste de la sécurité des systèmes embarqués, investit dans un nouveau siège en bordure de Rennes pour faire face à sa forte croissance. © Pascal Guittet
Avec un certain succès puisque des grands groupes et des start-up viennent s’y implanter. Cela n’empêche pas quelques critiques… constructives. « Il manque encore une véritable stratégie industrielle de la cyberdéfense. On n’investit pas suffisamment ni dans la filière, ni dans les technologies », déplore Hassan Triqui, le fondateur de Secure-IC, une société spécialiste de la sécurité des systèmes embarqués et l’une des plus belles réussites du bassin rennais dans ce domaine. Pour la Bretagne, pas question toutefois de changer une formule qui gagne. En mai, elle a nommé à la tête du Pôle d’excellence cyber le vice-amiral Arnaud Coustillière… l’ancien chef du commandement des forces françaises de cyberdéfense.
* Le prénom a été changé.
