Automatiser ou échouer la défense nationale compte tenu de la fragilité des processus manuels

Plus de la moitié des organismes de sécurité nationale continuent de s'appuyer sur des processus manuels pour transmettre des informations sensibles, ce qui devrait mettre en garde les ministres, les chefs de la défense et les responsables de la cybersécurité. Les transferts faits à la main ne sont pas seulement lents : ce sont des points d'échec exploitables et dans un contexte géopolitique où la rapidité et la certitude définissent l'avantage opérationnel, cette fragilité peut se traduire par de mauvaises décisions ou des opérations engagées.

Les incidents de la dernière décennie, des attaques complexes contre la chaîne d'approvisionnement aux fuites résultant de procédures incohérentes, ont montré clairement que les adversaires cherchent et profitent des coutures du processus. Les mesures adoptées comme palliatives - l'impression de documents, l'autorisation de transferts de courrier électronique ou la validation manuelle de chaque échange - sont devenues des vecteurs de risque parce qu'elles introduisent des variations, des retards et des lacunes en matière de vérification qui sont difficiles à corriger lorsqu'une chaîne de garde doit être reconstruite.

Les raisons pour lesquelles le manuel persiste sont multiples et très humaines. Premièrement, les plates-formes héritées qui soutiennent une grande partie du gouvernement et des réseaux de défense n'étaient pas conçues pour interagir avec des moteurs de politique automatisés ou des systèmes modernes de cryptage, et leur remplacement entraîne des coûts et des perturbations que de nombreuses organisations ne peuvent pas se permettre au jour le jour. Le processus d'approvisionnement lui-même aggrave les retards : contrôles, certifications et délais qui, dans la pratique, font de toute modernisation un projet pluriannuel, tandis que la menace progresse en temps réel. Enfin, la culture institutionnelle joue son rôle: dans les domaines où la responsabilité personnelle est lourde, la surveillance humaine est perçue comme l'option la plus sûre, bien que les données montrent que l'erreur humaine est l'une des principales sources d'incidents.

Ce mélange d'anciennes technologies, de bureaucratie et de confiance dans le tangible crée un cocktail dangereux : reproduire des erreurs, des politiques sensibles à l'interprétation et des dossiers fragmentés qui compliquent la réponse à une lacune. Ce n'est pas seulement que l'efficacité opérationnelle est perdue; c'est que la capacité elle-même de démontrer ce qui s'est passé, quand et par qui elle est compromise, qui affaiblit à la fois la réponse technique et la responsabilité.

La bonne nouvelle est qu'il existe un cadre de travail pragmatique pour transformer cette fragilité en résilience. Il ne s'agit pas d'automatiser, mais d'articuler trois piliers qui, combinés, offrent une approche cohérente de la protection des identités, des données et des frontières opérationnelles. Le premier est le modèle de Zero Trust : vérifier en permanence l'identité et le contexte de chaque utilisateur, appareil et action pour éviter la confiance implicite. Les guides techniques et les cadres officiels en font déjà un axe prioritaire pour les environnements critiques; NIST Publication spéciale 800-207 explique comment cette architecture reconfigure les contrôles et les privilèges pour réduire les risques internes.

Le deuxième pilier met les données au centre : protéger l'information où elle se trouve et en transit, par classification, cryptage robuste et politiques qui accompagnent les archives indépendamment du réseau qui les transporte. Cette approche, connue sous le nom de sécurité axée sur les données, minimise l'impact des engagements des réseaux parce que la valeur de l'information est protégée par un contrôle direct, et non par des limites de périmètre qui sont perméables aujourd'hui. Agences telles que Royaume Uni CNSC recommander cette orientation comme complément essentiel aux défenses traditionnelles des réseaux.

Le troisième pilier s'attaque à un défi très spécifique des environnements de défense : un transfert sûr entre les domaines à différents niveaux de classification. Les solutions trans-domaine automatisent l'inspection, l'application des autorisations de libération et l'assainissement du contenu, permettant de partager les renseignements avec les alliés sans transformer chaque envoi en goulot de bouteille opérationnel. Lorsque ces outils sont intégrés à des contrôles d'identité et de protection axés sur les données, la fenêtre d'opportunité pour un acteur malveillant est considérablement réduite.

Appliquer cette triade n'est pas seulement une décision technique, c'est une décision de conception organisationnelle. Dans les contextes multinationaux et les coalitions, les clés passent par des identités fédératrices et par l'adoption de normes interopérables pour l'application uniforme des politiques entre partenaires. Dans le domaine tactique, vous devez penser aux agents de lumière et aux synchronisations résilientes qui fonctionnent avec une bande passante limitée. Dans la chaîne d'approvisionnement, l'automatisation devrait être étendue aux entrepreneurs et aux fournisseurs grâce à des vérifications et à une traçabilité plus strictes; la CISA a axé une grande partie de ses avertissements sur la nécessité de sécuriser cette zone d'attaque parce que des incidents tels que SolarWinds ont montré comment une défaillance de chaîne a un impact sur les systèmes critiques. (voir analyse CISA).

Il ne faut pas perdre de vue la dimension humaine : automatiser ne signifie pas déscomprendre le facteur humain, mais le libérer de tâches répétitives afin que le talent se concentre sur la conception des politiques, la gestion des exceptions et l'étude des événements anormales. Le changement exige des investissements dans la formation, les processus d'adoption des phases et la communication transparente qui expliquent que l'automatisation aide à mener à bien la mission, et non à surveiller l'équipe. Les projets pilotes contrôlés à faible risque, la rétroaction continue et des exemples visibles d'amélioration opérationnelle sont des stratégies qui aident à surmonter la résistance et à transformer la nouveauté en pratique stable.

S'il y a une leçon urgente, c'est que la modernisation n'est pas facultative : dans l'environnement actuel, chaque minute compte et chaque hésitation peut être exploitée. Faire de l'automatisation une priorité stratégique - soutenue par Zero Trust, la protection des données et les solutions interdomaines - est de protéger la capacité de décision et l'intégrité opérationnelle. Commencer par les processus les plus efficaces, traduire les politiques en règles exécutoires, mesurer les résultats et s'assurer que la formation du personnel est une étape concrète et réalisable. Il n'est pas nécessaire d'attendre pour remplacer l'ensemble du parc technologique; une intégration prudente et planifiée peut réduire l'exposition pendant que les systèmes sont modernisés.

Le rapport CYBER360: Défendre l'espace de bataille numérique souligne cette urgence et fournit des données qui devraient conduire à l'action aujourd'hui; disponible en totalité. Pour ceux qui dirigent les décisions en matière de défense et d'administration publique, la question n'est plus de savoir s'il faut automatiser, mais comment le faire correctement, en toute sécurité et rapidement : le prochain incident n'attendra pas l'achèvement de longs processus d'approvisionnement.

Agissant signifie durcir les flux, accélérer la maturité des contrôles et convertir l'automatisation en multiplicateur de force. Dans les environnements où la certitude sauve les missions, le maintien de la confiance dans le manuel n'est plus une option viable.