{"word_count": 7448, "character_count": 50095}
L’interconnexion globale des systèmes d’information et de communication a révolutionné nos modes de vies, bouleversé nos économies, démultiplié nos moyens de communication et ouvert de nouveaux horizons de développement encore largement inexplorés. Des pans entiers des activités humaines sont transformés en données numériques, dont une part significative est en libre accès via l’Internet qui poursuit sa croissance exponentielle à travers les mobiles, les objets et bientôt la plupart des supports numériques.Ces évolutions transforment en profondeur l’environnement stratégique. Elles suscitent l’émergence de nouvelles menaces comme de nouvelles opportunités. Elles mettent à portée de tous de puissants outils d’expression, d’influence, de propagande et de renseignement, d’immenses volumes de données mais aussi de redoutables vecteurs d’attaques, pour le meilleur et pour le pire. Elles favorisent la montée en puissance de nouveaux acteurs privés aux activités transfrontalières et à l’ubiquité inédite qui s’imposent sur la scène internationale comme un défi à la souveraineté des Etats mais aussi un partenaire parfois essentiel dans l’exercice de leurs pouvoirs régaliens. Elles transforment ainsi les rapports de pouvoir, à la fois entre les Etats, mais aussi entre les Etats, les acteurs non-étatiques et le secteur privé.Le concept de cyberespace, pourtant issu de la littérature de science-fiction et profondément imprégné de culture libertaire, a fortement structuré les stratégies des Etats qui s’en sont emparés dès le milieu des années 2000. L’étude des représentations du cyberespace dans la littérature stratégique révèle ainsi l’appréhension de ce nouvel environnement par les Etats. Elle se reflète aussi dans l’organisation de l’Etat et la mise en place de nouvelles structures pour faire face à ces nouvelles menaces, qui deviennent de plus en plus complexes et protéiformes au gré des ruptures technologiques et des surprises stratégiques qu’engendre la révolution numérique.Le concept de cyberespace, reconnu en France comme priorité stratégique et nouveau domaine militaire par le Livre blanc sur la défense et la sécurité nationale (LBDSN) de 2013, peine pourtant à véhiculer l’ampleur des défis qui se posent aux Etats face à la transformation numérique. La France, comme nous le verrons, a en effet progressivement élargi sa vision du champ de l’action stratégique en évoluant d’une approche technico-militaire du cyberespace à une approche plus globale, qui inclut les menaces informationnelles, les enjeux sociétaux, juridiques et éthiques qui nécessitent la mobilisation des sciences humaines et sociales.Dès 1997, Henry Bakis s’interrogeait sur la naissance d’un nouvel espace géographique à la charnière entre l’espace géographique (géoespace) et le cyberespace, « espace de la communication électronique ». Il proposait d’appeler ce nouvel espace « où se nouent de nouvelles formes d’accessibilité en fonction d’autres conditions de temps et de coûts », le « géocyberespace » qu’il voyait comme « la trame de l’espace géographique du XXIème siècle » (Bakis, 1997). Cette trame s’enrichit de volumes exponentiels de données qui reflètent et façonnent l’espace géographique et les activités humaines.La notion de datasphère, tout juste émergente au sein de notre équipe (Bergé et Grumbach, 2016), permet d’englober dans un même concept les enjeux stratégiques liés au cyberespace mais aussi à la géographie des flux et la maîtrise des données, la compréhension de l’espace informationnel, la cartographie des réseaux topologiques, la fusion de données géolocalisées et non spatialisées. Elle permet aussi d’appréhender les défis à venir d’un monde de plus en plus gouverné par les algorithmes et l’intelligence artificielle, à la puissance démultipliée par l’ordinateur quantique, et dont il faudra s’efforcer de comprendre la géographie.Cet article propose ainsi une première approche du concept de datasphère comme un nouvel espace à appréhender et un nouveau champ d’étude pour la géographie. Il démontrera que la datasphère doit se comprendre comme un construit social et spatial reflétant des enjeux de pouvoirs et des choix politiques, sociaux, techniques et organisationnels qui ont des implications stratégiques. Les données, comme le souligne Amaël Cattaruzza, « ne sont pas des éléments naturels que l’on devrait subir […] mais sont des produits humains, issus de choix politiques, économiques, sociaux, idéologiques, philosophiques, éthiques (ou d’absence de choix) » (Cattaruzza, 2017). Ces données ne sont donc pas neutres, elles sont le produit de groupes sociaux et reflètent les stratégies et représentations des acteurs qui les produisent. Elles transforment l’environnement stratégique et les rapports de pouvoir géopolitiques. La démarche géopolitique est essentielle à la compréhension de ce nouvel environnement qui, s’il ne correspond pas à un territoire au sens classique en géographie, est le produit, l’enjeu et le vecteur de rapports de pouvoir, au cœur des conflits géopolitiques contemporains.Dans une première partie, nous analysons le cyberespace comme une représentation géopolitique qui a évolué au gré de l’émergence des menaces et défis stratégiques pour les Etats d’un espace de liberté à celle d’une menace de premier plan pour la sécurité des États. Cette évolution témoigne du fait que le cyberespace est devenu en l’espace d’une dizaine d’années non seulement le vecteur mais aussi l’objet de rivalités de pouvoir géopolitiques. L’exemple de la France permet par la suite de comprendre, à travers l’analyse de la littérature stratégique, l’évolution d’une approche très technique du cyberspace à une approche plus globale qui, à la faveur de la numérisation massive des sociétés et de l’évolution de la menace, montre le besoin d’élargir le concept de cyberespace. Nous montrerons ensuite que le cyberespace, au cœur des conflits géopolitiques, est devenu un enjeu majeur des relations étatiques et un nouveau champ de la diplomatie et du droit international, mis au défi par la forte imbrication entre les dimensions politiques, économiques, militaires et sociétales des conflits liés à l’espace numérique. Enfin, nous aborderons l’enjeu majeur des données dans les relations de pouvoir, qui ouvre à la géographie un nouvel espace d’exploration.Cette réflexion s’inscrit dans le prolongement des travaux sur le cyberespace, à travers lequel circulent les données, et cherche à appréhender, de manière plus globale, l’écosystème généré par la production massive de données. Cet article de synthèse est ainsi le fruit de six années de travail au sein l’équipe pluridisciplinaire de Chaire Castex de cyberstratégie de l’IHEDN et de l’Institut Français de géopolitique (Paris 8).Le cyberespace : une représentation géopolitiqueIl n’existe aucune définition consensuelle du mot cyberespace, bien qu’il soit largement utilisé. Au contraire, il en existe quasiment autant qu’il y a d’acteurs. Leurs définitions respectives sont « plus ou moins précises » et « reflètent les préoccupations et les intérêts des acteurs » (Douzet, 2014, p. 5) qui l’utilisent. Le cyberespace fait donc l’objet de représentations géopolitiques qui, comme les intérêts des acteurs, peuvent se révéler contradictoires. Une représentation géopolitique est « une construction, un ensemble d’idées plus ou moins logiques et cohérentes » (Lacoste, 1995, p. 1278). « Elle décrit, exprime une partie de la réalité, de façon floue ou précise, déformée ou exacte » (Lacoste, 1995, p. 1278). Les représentations ne sont pas neutres, elles ont au contraire une fonction dans les rivalités de pouvoir géopolitique et des conséquences sur les actions menées par les différents acteurs. Elles peuvent influencer comme elles peuvent servir les stratégies des acteurs pour convaincre, inquiéter, ou mobiliser des acteurs. Le contexte dans lequel a émergé le terme de cyberespace est d’ailleurs révélateur des représentations portées par ce terme. Il a en effet, connu une première démocratisation dans les années 1990 dans le discours des pionniers de l’Internet avant de tomber en désuétude pour réapparaître à la fin des années 2000 dans le discours des Etats.Une représentation utopique dans les années 1990Alors que le world wide web émergeait, les pionniers de l’Internet ont mobilisé le terme de cyberespace, inventé en 1982 par William Gibson, auteur de science-fiction, pour vanter l’émergence d’un nouvel espace social. Ces techniciens, informaticiens et ingénieurs, à l’origine du réseau des réseaux, ont baigné dans l’atmosphère contestataire des campus californiens des années 1960 et 1970 qui a contribué à façonner l’Internet que nous connaissons aujourd’hui. Les principes de communication pair à pair et de partage des ressources à l’origine de la conception du réseau sont alors devenus les présages d’un accroissement de la liberté et de la démocratie, de rapports sociaux plus égalitaires et de l’avènement d’une intelligence collective grâce au partage de l’information à l’échelle mondiale. La mise en réseau du monde allait permettre l’émergence du « village global » annoncé par Marshall McLuhan, professeur à l’Université de Toronto dans son ouvrage « Le médium est le message » en 1967 (McLuhan, 1967). Avec cet oxymore, le théoricien des communications considérait que le développement de la communication permis par l’essor des technologies de l’information conduirait à une unification culturelle planétaire et à la constitution d’une seule société. L’intensification de la communication, dont le cyberespace était le dernier avatar, allait dès lors permettre le développement d’une société pacifiée car partageant des valeurs communes et ainsi conduire inexorablement à la fin des conflits à l’échelle planétaire. Allant même jusqu’à considérer le cyberespace comme un territoire à part entière, John Perry Barlow, co-fondateur de l’Electronic Frontier Foundation (EFF), puissant lobby américain militant pour la défense « des libertés dans le monde digital »1, a signé une « Déclaration d’indépendance du cyberespace » en 1996.Ce mythe utopique a par la suite imprégné l’ensemble de la société via les milieux politiques au début des années 1990. Al Gore, alors Sénateur américain, en fit même l’un des thèmes principaux de la campagne présidentielle américaine de 1992 qui le portât à la vice-présidence des États-Unis avec le projet « National Information Infrastructure » plus connu en France sous le nom des « autoroutes de l’information ». Pour justifier ce choix, il mobilisa les discours utopiques nés au sein de la contre-culture américaine. Transparence, démocratie, partage de la connaissance, pacification du monde, l’avènement du cyberespace devait sonner le glas des dictatures et annoncer une nouvelle ère de progrès économiques et sociaux. Or la décennie des années 2000 a montré que les conséquences du développement de l’Internet à l’échelle mondiale ne furent pas à la hauteur de ces espoirs.La représentation d’une menace à la sécurité nationaleUne décennie plus tard, les acteurs de la défense nationale des Etats se sont réappropriés le terme de cyberespace pour évoquer, à l’opposé de la vision utopique des années 1990, une menace à la sécurité nationale. Avec la multiplication et l’intensification des attaques informatiques visant à déstabiliser, espionner ou saboter, le cyberespace devient alors une source de menaces transfrontières, protéiformes et permanentes induisant un fort sentiment de vulnérabilité et d’insécurité chez les États qui développent des discours à la sémantique anxiogène.On assiste également à la prolifération d’une sémantique « cyber » particulièrement anxiogène. Parfois associée à des références historiques fortes comme « Cyber Pearl Harbor », cette sémantique tend à produire un discours aux accents catastrophistes. Et certains termes suscitent de vifs débats, comme les termes « cyberguerre » ou « cyberterrorisme » qui ont fait l’objet de nombreuses publications2. Plusieurs chercheurs dénoncent ainsi les mythes propagés par les discours anxiogènes alimentant un sentiment d’insécurité globale (Conway, 2004, Libicki, 2009, Boyer, 2012, Dunn Cavelty, 2012).Or, la prolifération des attaques informatiques, devenues de plus en plus sophistiquées a, à la fin des années 2000, eu des conséquences économiques, politiques et stratégiques de plus en plus importantes pour leurs victimes notamment les entreprises mais aussi pour les Etats. Plusieurs attaques font alors progressivement prendre conscience aux États des enjeux que pose le cyberespace pour leur sécurité. Les attaques contre l’Estonie en 2007 ont révélé la vulnérabilité potentielle des sociétés ultra-connectées3. En 2008, les attaques informatiques précédant l’invasion des chars russes en Géorgie ont montré que le cyberespace était devenu un nouveau mode d’action militaire possible. En 2010, le ver Stuxnet a semé un vent de panique dans les milieux stratégiques en commettant le premier acte de sabotage d’ampleur à l’encontre d’infrastructure stratégique d’un pays. Dans le même temps, les campagnes d’espionnage informatique se sont développées de façon exponentielle, toujours plus sophistiquées et toujours plus ciblées. Mais l’événement qui a marqué la fin des illusions au sein des politiques et du grand public est l’ensemble des révélations faites par Edward Snowden, ancien consultant de la NSA, à partir de juin 2013.Pour les États, l’émergence d’une nouvelle menace à la sécurité nationale nécessite dès lors d’organiser une réponse qui passe par l’élaboration de nouvelles stratégies, qui se reflètent dans les choix sémantiques. L’étude du champ sémantique se révèle alors pertinent pour comprendre leurs implications stratégiques (Giles et Hagestad, 2013).Du cyberespace à l’espace numériques : un changement de sémantique révélateur d’un changement de stratégie, l’exemple françaisÀ partir de 2005, le cyberespace devient un objet stratégique dans les discours produits par les États. Le terme pénètre alors les stratégies de défense et de sécurité des Etats, dont celle de la France. Les représentations portées par le cyberespace influencent et modèlent amplement les réponses élaborées qui témoignent d’une approche technico-militaire. Mais à partir de 2014, les acteurs de la sécurité nationale en France modifient leur vocabulaire et délaissent le terme de cyberespace pour celui d’« espace numérique ». Ce basculement est motivé par l’émergence d’une nouvelle menace : l’utilisation des réseaux sociaux par le groupe terroriste Etat islamique pour recruter, financer et surtout diffuser sa propagande. Le terme de cyberespace est alors jugé trop restrictif pour faire face aux enjeux posés par la propagande puis les manipulations de l’information, nécessitant un changement de stratégie.Des discours sur le cyberespace qui forgent une approche technico-militaireAu sein des Etats occidentaux, l’emploi du terme « cyberespace » est réservé de façon quasi-systématique à un contexte sécuritaire. En France, il est particulièrement utilisé par le ministère de la Défense et l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) en charge de la sécurité informatique de l’Etat, qui sont les principaux acteurs de la stratégie française de cyberdéfense. A l’inverse, le terme cyberespace n’est que très peu employé pour évoquer les enjeux d’ordre économiques ou sociétaux, pour lesquels le terme « numérique » lui est préféré. Ce n’est qu’en 2012, que le concept de cyberespace a commencé à envahir la littérature stratégique française, bien qu’il soit présent dans les discours des stratèges français dès 2008. Le Livre Blanc sur la Défense et la Sécurité Nationale (LBDSN) de 2008, principal document d’orientation stratégique en matière de défense, avait cependant peu mobilisé le terme de cyberespace, lui préférant le terme « Internet » alors évoqué comme un réseau neutre de communication technique. Le LBDSN de 2013, en revanche, le consacre au rang de véritable domaine d’intervention des forces armées.L’émergence du terme cyberespace dans la littérature stratégique française résulte de l’influence des Etats-Unis, précurseur en matière de réflexion stratégique sur ces enjeux. Outre Atlantique, la mobilisation du terme cyberespace a été beaucoup plus précoce. Dès 1993, John Arquilla et David Ronfeldt, chercheurs à la RAND Corporation, pointaient les enjeux de sécurité nationale qu’allaient engendrer l’expansion des réseaux numériques (Arquilla and Ronfeldt, 1993). Puis le terme cyberespace a pris de l’ampleur à partir de la publication de la première stratégie de cybersécurité des Etats-Unis en 2003. Par la suite, il a connu une popularité croissante dans les médias, avec la prolifération des attaques informatiques à partir de 2005.Les représentations techniques du cyberespace se sont traduites dans les stratégies de nombreux États. Entre 2008 et 2013, période correspondant à la mise en place des premières bases de la stratégie française, la représentation des menaces issues du cyberespace par les acteurs français se focalisait essentiellement voire exclusivement sur les attaques informatiques. Qu’elles soient à but d’espionnage, de déstabilisation ou de sabotage, les attaques informatiques étaient abordées dans leur dimension technique : intrusion, logiciels malveillants, gestion des mots de passe… Les attaques informatiques d’ampleur ont ainsi d’abord été perçues comme une menace technique sur les systèmes d’information et de communication pouvant mettre en jeu la sécurité nationale. La stratégie mise en œuvre pour faire face à ces menaces est une stratégie technico-militaire qui fait de la lutte contre les attaques informatiques le premier et quasi-unique axe des stratégies développées par les États occidentaux.En 2014, le groupe terroriste Etat islamique déploie une stratégie d’utilisation des réseaux sociaux agressive pour pour organiser leurs actions, recruter, financer et surtout diffuser leur propagande. La diffusion massive de leur propagande notamment via Twitter et Facebook met la France face à une nouvelle menace imposant une redéfinition de sa stratégie, qui se traduira par un changement de sémantique.Du cyber au numérique : vers une approche plus globaleLa lutte contre la propagande, devenue une priorité pour l’Etat français, est venue modifier le périmètre de la stratégie française mais également sa sémantique. Ces modifications de vocabulaire montrent d’un basculement du concept du cyber, technique et sécuritaire, vers le concept de numérique qui recoupe des thématiques plus transversales et est, à ce titre, plus utilisé, ouvert. Elles sont le fruit d’un profond changement d’approche de la stratégie française.Le ministère de la Défense délaisse alors le terme « cyberespace » pour lui préférer celui d’ « espace numérique », jugé plus adapté pour faire face aux nouveaux enjeux. Pour l’amiral Coustillière, alors en charge de la cyberdéfense française, « penser le cyberespace doit en effet échapper à la facilité d’ajouter cyber devant les termes pour s’inspirer des modes de pensée classique ». Il ajoute même que « parler de « cyberguerre », de « cybercombattant » ou de « cyberarme », c’est prendre le risque d’enfermer sa réflexion dans le cadre rassurant des conflits connus et de manquer le développement d’une analyse audacieuse qui tirerait pleinement parti des nouvelles opportunités ». Pour lui, « l’introduction rapide dans le champ stratégique d’un nouvel espace, intimement lié à la mondialisation et au développement des sociétés modernes (…) devenu un enjeu de pouvoir et un nouvel espace de confrontation par la volonté et par les intérêts de ses différents acteurs » nécessite un changement de sémantique. A ce titre, il estime donc « qu’il serait plus précis » de recourir à la notion d’« espace numérique » (Coustillière, 2015, p. 42).Du côté de l’ANSSI, deuxième pilier de la stratégie française, la sémantique est également modifiée. Alors que la première stratégie publiée en 2011 faisant référence à la « sécurité des systèmes d’information », la deuxième stratégie de 2015 de l’ANSSI évoque elle « la sécurité du numérique ». Guillaume Poupard, directeur général de l’agence, a alors déclaré que l’ANSSI souhaitait également changer de paradigme4 « passer d’une protection des systèmes d’information à une protection de l’information », ce qui revient à « élargir un champ de manière incroyable ». Il ajoute que la nouvelle stratégie se veut être dans « une approche qui ne soit pas uniquement militaro-je sais pas trop quoi » mais bien « une approche globale en termes de sécurité du numérique ». En effet cette nouvelle stratégie révèle une approche élargie des enjeux de la cybersécurité et surtout davantage intégrée avec la question du développement numérique dans la société française. Les thèmes abordés dans ce nouveau document témoignent de cette profonde évolution du périmètre couvert par l’ANSSI.Cette évolution de vocabulaire se retrouve d’ailleurs dans la Revue Stratégique de défense et de sécurité nationale (RS) publiée en 2017 qui succède au LBDSN de 2013. Dans la Revue Stratégique les termes « cyberespace » et « espace numérique » sont tous les deux utilisés pour désigner des enjeux d’ordre différent. Le terme « cyberespace » reste fortement mobilisé pour faire référence à des enjeux purement militaires (le cyberespace comme domaine de l’action militaire par exemple) alors que la notion « d’espace numérique » est davantage utilisée pour désigner les enjeux plus larges, comme les notions de puissance et de souveraineté.Figure 1 : Utilisation et évolution des notions Internet, cyberespace et espace numérique dans les LBDSN (2008, 2013) et dans la RS (2017)Le terme « cyberespace » reste toutefois employé pour évoquer les enjeux liés à la lutte contre les attaques informatiques. Alors que le terme « espace numérique » est évoqué pour faire référence aux enjeux relatifs aux questions de propagande et d’influence dans les processus électoraux via l’Internet qui ont pris de l’ampleur depuis l’élection américaine de 2016. Car la sémantique du cyberespace n’est pas abandonnée pour autant comme en témoigne la réminiscence de l’usage du préfixe « cyber » qui devient même un adjectif dans les documents stratégiques français depuis 2015. Si, on observe une baisse de la variété des termes cyber entre le LBDSN de 2013 et la Revue Stratégique de 2017, il se fait au profit d’une augmentation de l’adjectif « cyber » (cyberguerre, cybermenace, etc.).Figure 2 : Evolution de l’utilisation des termes cyber dans les LBDSN (2008, 2013) et dans la RSDSN (2017)Or la prégnance du préfixe cyber, employé le plus souvent en tant qu’adjectif, masque en fait une variété d’utilisations comme le montre le graphique ci-dessous.Figure 3 : Utilisation de l’adjectif cyber dans la RS2017L’analyse de la sémantique mis en regard de l’évolution de la menace montre comment la France a basculé vers le concept de « numérique » afin de répondre au besoin d’une nouvelle stratégie dictée par l’émergence d’une nouvelle menace. Pourtant la sémantique du cyberespace reste encore utilisée pour faire référence aux enjeux de la lutte contre les attaques informatiques et à la conflictualité entre Etats. En témoignent les négociations internationales pour réduire la conflictualité, prévenir l’escalade des conflits et assurer la sécurité collective dans le cyberespace.Le cyberespace, nouvel enjeu des négociations internationales/de la diplomatieLe 12 novembre 2018, lors du sommet de la gouvernance de l’Internet (IGF Paris), le Président de la République française Emmanuel Macron lançait « l’Appel de Paris5 pour la confiance et la sécurité dans le cyberespace ». L’enjeu était au cœur des discussions du Forum de la Paix de Paris (PPF), qui se tenait en parallèle, et d’une vaste campagne de diplomatie commerciale de l’un de ses sponsors majeurs, l’entreprise Microsoft, initiatrice notamment d’une pétition pour la paix numérique (Digital Peace Now)6. Ce vibrant plaidoyer pour « un cyberespace ouvert, sûr, stable, accessible et pacifique » illustre à la fois le chemin parcouru et ce qu’il reste à accomplir pour assurer la paix, la stabilité et la sécurité internationales dans le cyberespace. En l’espace d’une dizaine d’années, le cyberespace est ainsi devenu un enjeu majeur des relations diplomatiques car sa régulation et la coopération internationale dans la lutte contre les risques et les menaces sont désormais indispensables pour assurer la sécurité collective. L’enjeu est aussi d’assurer la stabilité même du cyberespace, dont la mise à mal pourrait avoir des conséquences catastrophiques en raison de la dépendance croissante de nos sociétés au numérique (Bakis, 2013). Mais les progrès sont compliqués par les spécificités de cet environnement, les rivalités géopolitiques et l’omniprésence des acteurs privés et civils.Pendant des années, les Etats qui disposaient de capacités ont profité de l’opacité de l’espace numérique pour mener des opérations offensives en toute discrétion et en toute impunité. Mais, ils ont progressivement pris conscience de leur propre vulnérabilité, et ainsi de la nécessité de brider le comportement des Etats et de coopérer pour éviter les risques d’atteinte aux infrastructures d’importance vitale, de déstabilisation massive ou d’escalade des conflits.Dès 1998, l’Assemblée Générale de l’Organisation des Nations Unies (AGNU) a adopté une première résolution sur la cybersécurité. En 2001, elle a mandaté un groupe d’experts gouvernementaux de l’ONU (GGE) chargé d’examiner les progrès de l’informatique et la question de la sécurité internationale. Il s’est réuni pour la première fois en 2004, sans parvenir à trouver de consensus. Dès 2011, les pays membres de l’Organisation de la Coopération de Shanghai, emmenés par la Chine et la Russie, proposaient un « Code de conduite international pour la sécurité de l’information »7, dont les termes furent toutefois jugés inacceptables par les démocraties occidentales en particulier eu égard à la protection des droits de l’homme. Une nouvelle version sera proposée en 2015, plus consensuelle sur le fond comme dans son vocabulaire.L’adoption de normes de comportement responsable des EtatsLa première avancée majeure fut le rapport du GGE de 2013 - adopté par les experts des 20 pays participant dont les Etats-Unis, la France, la Chine et la Russie - qui reconnaît l’applicabilité du droit international au cyberespace, permettant ainsi de sortir de la représentation d’un vide juridique dans lequel se développeraient les opérations numériques. La question des modalités d’application de ce droit restait toutefois entière. Le Manuel de Tallinn, rédigé par un groupe d’experts du centre d’excellence de l’OTAN (CCDCOE), proposait dès 2013 une analyse des points de consensus et de désaccord entre experts sur l’interprétation du droit international, notamment du droit des conflits armés, appliqué au cyberespace. Ces travaux se sont heurtés aux spécificités de l’espace numérique, qui constituent de sérieux défis pour l’interprétation du droit international. Il est par exemple très facile de masquer ses traces dans le cyberespace, ce qui rend l’attribution difficile et souvent incertaine.L’autre limite du Manuel de Tallinn est la pratique des Etats, qui reste généralement sous le seuil de ce qui constitue un acte de guerre et comprend de multiples opérations non militaires. Cela oblige les Etats et les experts à penser les règles de comportement et l’interprétation du droit international en temps de paix. La version 2.0 du Manuel, publiée en 2017 élargit ainsi la réflexion à l’ensemble des opérations dans le cyberespace.Ces caractéristiques propres à l’espace numérique poussent une partie des Etats, emmenés par la Russie, à considérer que le droit existant ne permet pas de réguler suffisamment le comportement des Etats et estiment que de nouvelles règles sont nécessaires. D’autres Etats en revanche, dont les Etats-Unis et la France, considèrent que le droit international est suffisant et cherchent à construire un consensus sur la base d’engagements politiques à travers l’élaboration de normes de comportements responsables des Etats. Ces normes facultatives et non contraignantes adoptées par les Etats sont un outil du droit international. Elles permettent d’aboutir à une vision commune de ce qui constitue un comportement responsable, ce qui est acceptable ou non de la part des Etats. Elles permettent ainsi d’améliorer la prévisibilité de l’action des Etats et donc la stabilité internationale. Elles peuvent aussi servir à interpréter des obligations contraignantes existantes au regard de situations particulières - ce qui leur confère un effet juridique -, et à préparer le terrain juridique et politique pour l’adoption d’obligations contraignantes (Delerue et Gery, 2018).Le rapport du GGE de 2015 a permis d’établir un consensus sur un ensemble de normes de comportements responsables des Etats, de principes et de mesures de confiance qui traduisent les attentes de la communauté internationale mais aussi les difficultés qu’il reste à surmonter. En particulier, les Etats ont convenu de ne pas laisser leur territoire être sciemment utilisé pour mener des attaques informatiques, de ne pas causer de dommages intentionnels aux infrastructures d’importance vitale ni aux centres de réponse d’urgence (CERTs), dont les équipes ne doivent pas mener d’activités informatiques malveillantes. Ils se sont engagés à renforcer la coopération pour améliorer la stabilité et la sécurité de l’espace numérique, échanger de l’information et se prêter assistance, et respecter les résolutions des Nations Unies portant sur les droits de l’homme sur Internet. Les Etats ont également convenu de limiter la prolifération de vulnérabilités et logiciels malveillants, et notamment d’assurer l’intégrité de la chaîne d’approvisionnement. Les normes positives permettent ainsi d’établir de bonnes pratiques pour prévenir l’escalade des conflits et réduire le risque lié aux usages numériques, tandis que les normes négatives définissent les actions que les Etats devraient s’interdire pour ne pas menacer la sécurité et la stabilité du cyberespace. Des normes et des mesures de confiance, s’inscrivant généralement dans la continuité des travaux du GGE, ont également été discutées dans d’autres instances en dehors de l’ONU, notamment l’OSCE, l’ASEAN, le G7 ou encore le G20.Bien qu’elles constituent une avancée importante, ces normes se heurtent à un certain nombre de limites. Premièrement, elles sont loin d’être respectées, comme en témoignent de nombreux incidents récents. Le 23 décembre 2015, quelques mois après l’adoption du rapport du GGE, le réseau électrique ukrainien subissait une cyberattaque majeure - la première cyberattaque réussie contre un réseau électrique - conduisant à d’importantes coupures électriques, dans un contexte de tensions majeures avec la Russie8. Pour autant, leur dimension non contraignante ne rend pas les normes inutiles. La pression et les conséquences politiques engendrées par une violation de la norme peuvent faire évoluer les rapports de force entre Etats et favoriser la régulation des comportements.Deuxièmement, ces normes régulent le comportement des Etats alors que de nombreuses opérations émanent d’acteurs non-étatiques ou ciblent des acteurs privés, qui ne relèvent a priori pas du droit international. Les attaques destructrices contre Saudi Aramco en 2012 ou contre Sony Pictures en 2014 ont pris les gouvernements par surprise. Et la réponse n’allait pas de soi, comme en témoigne les difficultés de la Maison Blanche à caractériser l’attaque contre Sony Pictures, finalement qualifiée de « cyber-vandalisme »9.Troisièmement, les Etats peinent à dépasser certaines rivalités et surmonter la défiance qui résulte de leurs grandes différences de capacités et de cyber maturité10, leurs rapports de force et leurs représentations géopolitique. C’est ainsi que les discussions du GGE ont échoué à produire un consensus en juin 2017, suscitant une grande frustration parmi les acteurs. Ces discussions devraient être relancées en 2019, suite à l’adoption de deux résolutions par la Première Commission de l’Assemblée Générale des Nations Unies le 8 novembre 201811.Enfin, les Etats, en raison de leur représentation du risque, ne sont pas prêts à renoncer à certaines de leurs activités qui mettent pourtant en péril la sécurité et la stabilité du cyberespace. Si les Etats sont préoccupés du risque systémique posé par la prolifération des outils malveillants et des vulnérabilités, ils le sont plus encore du risque géopolitique lié à la cyber puissance de leurs rivaux. Cette représentation du risque entraîne une véritable course aux cyber armes. D’après la communauté américaine du renseignement, plus de 30 Etats développaient des outils offensifs fin 201612.Des acteurs non-étatiques s’invitent à la table des négociationsCes limites ont conduit d’autres acteurs à se saisir du sujet : des acteurs du secteur privé, académiques, technique et de la société civile, souvent mobilisés par ailleurs dans les autres instances de la gouvernance de l’Internet qui fonctionnent selon un modèle multi-acteurs (multistakeholder). Ces acteurs se sentent d’autant plus légitimes qu’ils sont omniprésents dans cet espace devenu un terrain d’affrontement entre Etats. Le milieu académique a inventé et développé l’Internet, avant que le secteur privé se charge de le globaliser et le commercialiser. Les chercheurs possèdent une compréhension, des compétences et une légitimité historique sur le réseau. Nombre d’entre eux militent pour une utilisation pacifique du réseau (Roche et Blaine, 2013). Les infrastructures sont essentiellement détenues par le secteur privé et les entreprises mondiales ont une visibilité sur le trafic, des données, des compétences et des ressources qui ne sont pas à la portée des Etats. Elles détectent les attaques et sont souvent aux avant-postes pour les stopper. Elles sont ainsi des partenaires essentielles dans la mise en œuvre des normes et la vérification de leur respect. Les entreprises qui opèrent au niveau mondial ont un intérêt d’une part à la stabilité du système - partagé avec les utilisateurs - pour la performance de leurs produits, et d’autre part à la confiance de tous les utilisateurs, quel que soit le pays.L’entreprise Microsoft, qui détient plus de 80 % de parts de marché à l’échelle mondiale13 des systèmes d’exploitation des ordinateurs de bureau, est de loin l’acteur le plus important dans le débat sur les normes. Elle a appelé dès 2015 les Etats à adopter de nouvelles normes14, appel renouvelé et étendu aux entreprises privées en 201615. Et surtout, en février 2017, le PDG Brad Smith a demandé l’adoption d’une Convention de Genève Numérique16 pour que les Etats s’engagent à protéger les populations civiles contre les attaques étatiques en temps de paix. Il a également appelé à la création d’une ONG, sur le modèle de l’Agence d’énergie atomique pour évaluer la mise en œuvre des normes et attribuer de manière indépendante les attaques. Ces premières initiatives empiétaient directement sur les prérogatives des Etats souverains, en cherchant à limiter voire contraindre leurs actions. Face aux résistances, l’entreprise a depuis changé de positionnement pour se replacer sur le terrain de l’influence. Elle a notamment proposé une initiative pour la paix numérique, déclinée sous forme de pétition et d’engagements de l’industrie (Cybersecurity Tech Accord, signé par 60 entreprises en 2018)17.Parallèlement, le 1er février 2017, la Global Commission on the Stability of Cyberspace (GCSC) a été lancée lors de la Conférence de Munich sur la sécurité. Créée à l’initiative du Ministère des Affaires étrangères des Pays-Bas, ce groupe international de 26 experts renommés issus des milieux industriel, académique, technique, gouvernemental et de la société civile représentant une grande diversité de régions travaille à l’élaboration de normes et d’initiatives pour guider le comportement responsable des acteurs étatiques et non-étatiques dans le cyberespace. Sa mission est de renforcer la paix internationale, la sécurité et la stabilité du cyberespace. Sa première initiative fut de proposer une norme pour protéger l’intégrité et la disponibilité du cœur public de l’Internet, afin que les actions menées dans l’espace numérique ne puissent porter atteinte à la stabilité du cyberespace. A l’occasion du Forum de Paris sur la Paix en novembre 2018, la GCSC a publié un ensemble de 6 normes visant à compléter ou préciser les normes du GGE. Elle propose notamment d’interdire la conduite d’opérations cyber offensives par les acteurs privés et la manipulation des produits et services qui pourrait affecter la stabilité du cyberespace.Les acteurs non-étatiques sont particulièrement préoccupés du risque systémique lié à la prolifération d’opérations offensives qui pourraient, à terme, en affaiblissant la sécurité et la stabilité du cyberespace, entraîner une déstabilisation majeure des sociétés, avec des conséquences difficiles à anticiper. Les récentes attaques WannaCry et NotPetya de 2017 ont montré le potentiel destructeur et déstabilisateur de la propagation incontrôlée, massive et rapide d’un logiciel malveillant à l’échelle mondiale. Des hôpitaux britanniques comme de grandes entreprises figurent parmi les victimes, alors qu’ils n’avaient initialement pas été pris pour cibles. Or ces attaques seraient d’origine étatique, le Royaume-Uni accuse la Corée du Nord pour WannaCry tandis qu’une coalition d’Etats estime que la Russie est responsable de NotPetya. Enfin l’outil utilisé pour conduire ces attaques, EternalBlue, avait initialement été développé par la National Security Agency (NSA) à partir d’une vulnérabilité sur le système de Microsoft. Ces exemples illustrent la grande imbrication des enjeux militaires, économiques et civils du cyberespace et l’enjeu du rôle et de la responsabilité des Etats. Avec la transformation numérique de nos sociétés, la multiplication des objets connectés et la montée en puissance de l’Intelligence Artificielle (IA), ces enjeux ne cessent de prendre de l’ampleur et nécessitent de repousser les limites du cyberespace pour penser l’environnement des données.Du cyberespace à la datasphèreLe monde physique est désormais truffé de capteurs disséminés dans l’espace public et privé, de smartphones, d’objets connectés parfois insérés dans le corps humain qui transforment toutes les activités humaines en données numériques dans une dynamique de croissance exponentielle qui oblige à développer de nouveaux types de statistiques. Chaque seconde, l’humanité produit environ 29 000 gigaoctets de données18, soit 912,5 exaoctets par an. Associées à de puissants algorithmes, ces données au volume vertigineux reflètent le monde physique et les activités humaines, nos déplacements, nos occupations, nos échanges sociaux, nos comportements commerciaux, jusqu’à notre rythme cardiaque et la qualité de notre sommeil. Les données sont au cœur des processus décisionnels de nos sociétés qui mobilisent de puissants algorithmes et d’immenses volumes de données pour résoudre les problèmes de plus en plus complexes auxquelles elles font face, qu’il s’agisse de lutter contre le réchauffement climatique, le cancer ou le terrorisme. Elles structurent notre environnement, nos modes de vie et nos activités. Elles sont un instrument de puissance économique et stratégique pour les acteurs qui ont la capacité de les maîtriser.La datasphère, nouvel espace d’exploration pour la géographieDans un article sur la « La sphère des données et le droit : nouvel espace, nouveaux rapports aux territoires », Stéphane Grumbach et Jean-Sylvestre Bergé analysent la sphère des données au prisme du cadre conceptuel de l’anthropocène, nouvelle ère géologique - qui fait encore l’objet de débats dans la communauté scientifique - caractérisée par l’impact déterminant des activités humaines sur l’environnement, en particulier le climat. Leur définition repose sur une analogie avec l’hydrosphère : « Afin d’être appréhendée comme un nouvel espace, la sphère des données doit être considérée de manière holistique, comme un système formé de l’ensemble des données, numériques bien sûr, à l’image de l’hydrosphère, reposant sur un constituant, le bit de données, en place de la molécule d’eau avec ses réservoirs et ses flux, indépendamment du contrôle que différents acteurs exercent sur l’environnement, les nœuds du réseau, ou les services essentiels exploitant les données » (Bergé et Grumbach, 2016).A l’image de l’hydrosphère, la sphère des données interagit ainsi avec l’environnement physique. Elle est à la fois ancrée dans le monde physique, puisqu’elle repose sur une infrastructure physique et des acteurs économiques, et en grande partie indépendante du monde physique par sa fluidité et son ubiquité. En témoignent les questions et les conflits juridiques complexes auquel fait face le droit international public, en raison des situations nouvelles, des nouveaux rapports aux territoires institutionnels classiques, voire aux « nouveaux territoires » que la sphère des données fait naître (Bergé et Grumbach, 2016).La datasphère peut se concevoir comme la représentation d’une mise en données du monde, un espace construit par la société qui possède sa propre géographie dont on sait encore très peu de choses. Et pourtant cette géographie est éminemment stratégique et indispensable à la compréhension du monde contemporain et des rivalités de pouvoir géopolitiques (Bakis, 2007). Son étude peut révéler des déséquilibres et des rapports de force, des stratégies d’acteurs, des manœuvres voire des affrontements qui s’opèrent dans et hors de la datasphère.La géographie des données est à la fois complexe et dynamique. Les données existent sous forme statique, stockées dans des datacenters ou des lacs de données. Elles existent aussi sous forme de flux et sont dynamiques. Elles passent par des nœuds, des passerelles et empruntent des routes qui peuvent être manipulées à des fins stratégiques. Elles peuvent être protégées ou en sources ouvertes, partagées et diffusées, de manière souvent opaque.Cette compréhension de l’environnement des données est d’autant plus essentielle que deux ruptures technologiques majeures sont en voie de révolutionner le traitement de nos données et d’en accroître la puissance et la valeur : l’avènement de l’ordinateur quantique et l’intelligence artificielle. Ces technologies en plein développement et dont on commence tout juste à entrevoir les implications soulèvent des questions politiques, éthiques et philosophiques majeures. Elles promettent d’être le catalyseur des conflits et rivalités de pouvoir géopolitiques liés aux données et de susciter de nouvelles questions diplomatiques. La montée en puissance des plates-formes d’intermédiation montre comment la révolution numérique transforme les relations de pouvoir.Les plates-formes d’intermédiation, grandes puissances de la datasphèreLa révolution numérique a permis l’émergence de nouveaux acteurs mondiaux si puissants économiquement et financièrement qu’ils rivalisent avec nombre d’Etats. Ces entreprises privées - comme Google, Facebook ou Baidu - opèrent dans le monde entier à travers les frontières. Elles facilitent les communications et les transactions entre les utilisateurs, ce que l’on appelle l’intermédiation. Elles collectent et contrôlent ainsi d’énormes quantités de données. Mais leur distribution géographique n’est pas uniforme, ce qui génère d’énormes déséquilibres dans les flux de données. Or ces déséquilibres ont une importance stratégique.Les révélations d’Edward Snowden en 2013 ont ainsi suscité une véritable prise de conscience de la part des Etats européens de leur dépendance extrême aux plates-formes américaines et des avantages stratégiques que les Etats-Unis pouvaient en retirer. De même, les attentats de 2015 ont montré l’impuissance du gouvernement français face à des plates-formes étrangères sur lesquelles il n’avait aucune autorité, obligeant le Ministre de l’Intérieur à solliciter directement la coopération de ces entreprises dans le cadre de la lutte anti-terroriste. Les manipulations de l’information via les réseaux sociaux observées lors des élections présidentielles de 2016 aux Etats-Unis et de 2017 en France, puis lors de diverses élections et processus démocratiques (référendums) en Europe, montrent toute la difficulté à comprendre cet environnement et ses enjeux.Les données transforment les relations de pouvoir, à la fois entre les Etats mais aussi entre les Etats et les entreprises privées, d’une manière que nous pouvons observer mais que nous avons encore du mal à mesurer et analyser. Il n’existe à l’heure actuelle pas de mesures satisfaisantes de l’activité des plates-formes. La plupart des entreprises comme Alexa ou Similarweb captent seulement une petite partie du trafic. Il est donc indispensable de combiner des mesures et les sources de données pour tenter de comprendre comment s’organise la géographie de cet espace.La carte suivante, à titre d’exemple, donne un aperçu de la dépendance des pays européens aux plates-formes étrangères. Nous avons comptabilisé les visites pendant un mois depuis les 28 pays de l’Union Européenne vers les 25 plates-formes les plus consultées. L’hypothèse est que chaque visite permet à la plate-forme de récolter une moisson de données personnelles qui seront par la suite exploitées. Nous avons ensuite géolocalisé chaque site en fonction du lieu où se trouve son siège social. Par exemple, Google.com mais aussi Google.fr sont localisés aux Etats-Unis (Frénot et Grumbach, 2014).Figure 4 : Les flux de données en Europe, massivement captés par les Etats-UnisEn France, les plates-formes américaines captent 78 % de toutes les visites.Figure 5 : Part des visites à des plateformes nationalesLa carte suivante, en revanche, offre une tout autre situation. En Chine, l’essentiel du trafic est dirigé vers des plates-formes nationales, qui se sont développées avec le soutien du régime dans une stratégie de contrôle sur les données.Figure 6 : Les flux de données en ChineContrairement à l’Europe, la Chine s’est dotée d’une stratégie ambitieuse, d’un arsenal juridique et d’un plan d’action pour s’imposer comme un acteur puissant et central de l’espace numérique19. Elle a identifié l’intelligence artificielle comme une technologie de transformation pour améliorer la gouvernance de son pays et assurer sa puissance économique et militaire. Avec plus de 800 millions d’internautes et une faible régulation en matière de protection des données personnelles, le pays possède un accès à un volume massif de données qui constitue un véritable avantage stratégique, que le développement de la route de la Soie numérique ne fera que renforcer. Le président Xi Jinping a affiché clairement l’ambition de la Chine : devenir le leader mondial de l’intelligence artificielle d’ici 2030, avec une industrie d’une valeur d’au moins 150 milliards de dollars. La Chine a ainsi pleinement pris conscience des enjeux de la révolution numérique et se projette d’ores et déjà dans la datasphère, qui est au cœur de sa stratégie de puissance.ConclusionLe cyberspace, concept issu de la science-fiction et adopté par les pionniers de l’Internet pour désigner le nouveau monde créé par l’interconnexion mondiale des systèmes d’information et de communication, est ainsi devenu, en quelques décennies, un espace de conflictualité et un enjeu majeur des relations diplomatiques. La prolifération des attaques informatiques et de la cybercriminalité a façonné les représentations et transformé le cyberespace en terrain stratégique, un espace de menaces et d’opportunités pour affirmer sa puissance et défendre sa souveraineté pour les Etats. Le concept de cyberespace reste de ce fait fortement associé aux questions de sécurité et de défense, alors que le terme espace numérique est souvent préféré pour évoquer les enjeux plus globaux qui prennent en compte l’enchevêtrement des questions économiques, politiques et sociétales liés à l’interconnectivité.Or les nouveaux enjeux de sécurité et de défense mêlent justement de plus en plus les attaques informatiques aux opérations de déstabilisation économique, sociale et politique. L’utilisation du cyberespace par l’Etat Islamique pour diffuser sa propagande, recruter ou organiser ses activités, ou encore les opérations d’influence voire d’ingérence russe dans le processus électoral aux Etats-Unis montrent bien les limites d’une approche techno centrée du cyberspace.Avec la mise en données massive des activités humaines, d’autres enjeux émergent qui ne sont pas appréhendés par la notion de cyberespace et qui ne sont pas encore bien compris. Nos sociétés produisent à un rythme exponentiel de très grands volumes de données qu’il faut parvenir à mesurer et représenter pour être capable de comprendre ce nouvel environnement à forte portée stratégique. Le concept de datasphère permet d’englober les enjeux du cyberespace dans une vision plus large qui tient compte de l’importance croissante et du pouvoir disruptif des données.Le défi scientifique majeur est celui de l’élaboration de concepts, méthodes et outils de traitement, d’analyse et de visualisation de gigantesques masses de données dans la perspective de mieux comprendre la géographie de la datasphère, mais aussi les rapports de force géopolitiques et les conflits contemporains qu’elle révèle et suscite. L’association entre géopolitique et la science des données est désormais indispensable pour comprendre les enjeux stratégiques de la révolution numérique.Documents stratégiques françaisANSSI, Défense et sécurité des systèmes d’information - Stratégie de la France, 2011.ANSSI, Stratégie Nationale pour la sécurité du numérique, 2015.SGDSN, Livre Blanc sur la Défense et la Sécurité Nationale, 2008.Livre Blanc sur la Défense et la Sécurité Nationale, 2013.Ministère des Armées, Revue stratégique de défense et de sécurité nationale, 2017.