Le recours au virtuel a permis aux hommes d’évoluer et de croire. Il a favorisé le progrès technologique ainsi que la capacité à définir des modèles mathématiques et à modéliser. Il a rendu possible la compréhension de leur environnement naturel par le biais des sciences physiques et l’appui sur des environnements numériques de plus en plus réalistes. Il a aussi été le support de leurs pensées ou croyances.

En réalité, c’est l’aversion pour l’incertitude ainsi que la volonté de maîtrise et de contrôle qui ont toujours joué un rôle majeur dans le recours à l’irréel. Individuellement ou collectivement, les hommes sont en effet impuissants, sidérés ou pétrifiés face à l’incertitude. Ils ont donc développé une culture de la maîtrise et du contrôle. Or la modélisation, la réalité virtuelle, propose d’extraordinaires outils pour ce faire. Elle permet d’aider à décider et de diminuer le risque, mais aussi de légitimer une action ou d’avoir le sentiment d’être à l’abri dans sa décision. Elle copie sinon s’approche le plus possible de la réalité. Elle fait gagner temps et efficacité à la recherche, l’oriente et la rend pertinente. À l’inverse, lorsque le virtuel facilite des attaques cyber dont les conséquences sont réelles, il rend vulnérable. Le virtuel nous place variablement en position de maîtrise ou de vulnérabilité, c’est pourquoi « il faut sans arrêt redéfinir ce sur quoi nous nous sommes stabilisés, c’est-à-dire ce qui permet d’encaisser l’inattendu des situations »1.

Aujourd’hui, l’analyse du rôle que le virtuel joue et de la place qu’il occupe dans nos sociétés, particulièrement dans deux des menaces les plus fortes qui les guettent, engage à développer la capacité de recours au réel, aux solutions concrètes.

• Faire face à deux menaces fortes

Première menace forte, les catastrophes naturelles, manifestation de l’évolution climatique que l’on ne peut plus ignorer désormais, qui frappent de plus en plus souvent et de plus en plus fort. Le virtuel ne permet pas encore de les anticiper, signe que la réalité reste complexe et la nature encore imprévisible. Mais même s’il reste imparfait, le progrès des outils de prévision météorologique ou d’analyse géologique est réel. Les prévisions en matière de changement climatique s’affinent, et si elles conservent une marge d’erreur, elles offrent un niveau d’appréciation qui devrait aider à prendre des décisions collectives en faveur du meilleur objectif de maîtrise possible de l’élévation de la température. En résumé, le virtuel est au service des hommes pour leur permettre d’anticiper les menaces des climats terrestres futurs. Saurons-nous décider ? Saurons-nous nous adapter ?

Seconde menace forte, la croissance exponentielle en nombre des attaques cyber, en effets comme en niveau technologique, qui met chaque jour davantage en lumière notre dépendance aux systèmes d’information, à la maîtrise de la donnée et à l’énergie pour maintenir notre développement et pour répondre aux aspirations comme aux besoins de la société. Le contrôle du cyberespace s’impose comme un enjeu de souveraineté. Le « virtuel » des attaquants contraste ici avec la réalité des attaques et le haut niveau de leurs conséquences, extrêmement variées : déni de service informatique (ddos), rançongiciel (prise d’otage informatique), logiciel espion (espionnage informatique), macro virus (altération de programmation), virus (prise de contrôle informatique), cheval de Troie (vol, suppression, blocage, altération ou copiage de contenu), bombe logique (destruction de machine informatique), hameçonnage (téléchargement de logiciel malveillant ou transmission de données personnelles)…

Le dérèglement climatique, menace exogène de nos sociétés établies, d’une part, les attaques cyber, menace endogène de nos systèmes de modélisation et d’organisation (administration dématérialisée, supports numériques…), d’autre part, nous placent à nouveau dans des situations d’incertitude. Dans les deux cas, le virtuel « ressource » côtoie le virtuel « menace ». En vivant notre quotidien grâce à des environnements virtuels et en devenant dépendants d’eux, nous avons augmenté notre vulnérabilité aux risques du non-réel. Le virtuel est omniprésent et pourtant l’incertitude n’a pas disparu ! Elle a changé de forme et d’intensité.

• Pragmatisme de la doctrine militaire
  et réalisme de la société civile

La doctrine française du commandement de la cyberdéfense présente une approche intéressante pour faire face aux incertitudes dans l’organisation et la vie de nos sociétés. Elle rappelle que le numérique reste un moyen et non une fin, que tout miser sur le virtuel présente un risque majeur et qu’il ne peut être fait l’économie de la préparation de solutions non informatiques. Dit autrement, la concentration des efforts – aujourd’hui sur le cyber – ne doit pas conduire à amoindrir la liberté d’action future, ce qui sera le cas si elle est totalement dépendante des technologies de l’information, donc du virtuel.

Cette doctrine éclaire le fait que les bascules entre les temps de paix, de crise et de guerre ne sont désormais plus identifiées de manière marquée, et qu’il faut être prêt à se défendre et à riposter n’importe quand. Il s’agit d’être dans le jeu de la compétition internationale, tout en comprenant et en maîtrisant les ressorts et les fondements de multiples situations de contestation. C’est assumer d’agir sur le terrain d’un jeu social et économique global en respectant des règles et l’État de droit, comme se doit d’agir une nation responsable, et en même temps savoir que d’autres acteurs s’expriment et agissent par des manœuvres hybrides, déloyales, où tous les coups sont exploités. C’est « gagner la guerre avant la guerre », comme l’a énoncé en octobre 2021 le général Burkhard, chef d’état-major des armées, en étant toujours capable, en cas de nécessité et en dernier recours, d’aller à l’affrontement.

Côté société civile, la recherche alimente la réflexion quant à la capacité à appréhender le virtuel ou l’incertitude, à anticiper un futur « infigurable »2. Christian Clot énonce par exemple qu’il faut « savoir interpréter en permanence le présent », « être dans l’humilité de l’incertitude face au réel »3. Avec le collectif de l’Adaptation Institute, il offre une perspective réaliste de la décision dans l’incertitude : s’adapter non à un passé mais à un futur inéluctable que l’on peut percevoir – même si le passé reste une base de référence et une extraordinaire source d’appui. Cela requiert beaucoup d’efforts et une aptitude à lutter à chaque instant contre les éléments ou contre une menace nouvelle. Il faut parvenir à modéliser mentalement, donc virtuellement, le présent pour pouvoir imaginer l’avenir et, in fine, s’y acclimater le mieux possible. L’incertitude devient un moteur pour l’être humain, car elle le pousse à se dépasser, à s’ajuster et à s’adapter. Elle est une condition de son évolution.

La recherche scientifique fait ici écho au « gagner la guerre avant la guerre ». Sauf que la doctrine militaire prévoit l’ultima ratio regum, tandis que gagner une guerre climatique avant que ses principaux effets ne surviennent nous impose de nous adapter le plus vite possible à un futur inévitable. Le futur n’est plus vraiment virtuel. Ou plutôt, ce qui l’est encore, c’est le niveau ultérieur réel du changement climatique et de ses effets sur les populations, sur leur accès aux ressources naturelles, sur leurs nécessités de migration et sur leurs capacités d’adaptation4.

• Le choix impossible

La réalité est que nous vivons incarnés dans un réel d’une extraordinaire complexité, lui-même support au virtuel et socle de cet espace de perceptions qu’est le cyberespace. La force et les ressources du réel sont par nature incomparables avec le virtuel ; elles s’imposent d’elles-mêmes. Sa complexité porte naturellement en elle un haut niveau d’incertitude. C’est pourquoi le réel est avant tout l’humilité de l’incertitude ; c’est « ne savoir qu’une chose, que je ne sais rien » si on suit Socrate.

Le développement du virtuel permet d’améliorer notre connaissance des possibles en donnant l’impression de tendre vers l’exhaustivité sans l’atteindre. Il offre une meilleure maîtrise d’un environnement donné, réduisant les risques, sans toutefois garantir le contrôle de cet environnement. La modélisation virtuelle constitue également un recours remarquable lorsque le réel se meut en menace, lorsqu’il pose certaines questions inaccessibles et devient source d’inquiétudes. C’est pourquoi, par parallélisme de forme avec le réel, le virtuel devrait être compris et utilisé avec humilité face aux certitudes. Dans des situations de décision face à l’incertitude du réel, ou de protection et si possible de défense face à des menaces virtuelles, il conviendrait donc de placer le même niveau d’incertitude dans le virtuel que dans le réel.

• Agir, entre protection et prise de risque

Face aux menaces constituées par l’évolution de notre environnement naturel, la recherche est active. Son objectif : limiter le plus possible les effets futurs du dérèglement climatique sur les modes d’organisation établis de nos sociétés. La question des répercussions réelles et des solutions possibles est de plus en plus documentée. La société civile, l’économie, les organisations internationales, des organisations non gouvernementales, de plus en plus d’États se mobilisent, mais force est de constater l’extrême complexité de la problématique et la grande difficulté à fédérer. Le changement climatique est certain et si un modèle d’organisation peut à ce stade être mis en avant, c’est celui de la diversification des ressources – avec recours au durable – et des activités, tant dans leur répartition géographique (équipes humaines et infrastructures) que dans les technologies auxquelles elles font appel.

Désormais, conserver des capacités mécaniques simples peut constituer une solution robuste et disruptive, à condition que cela soit possible et compatible avec les activités. À l’opposé du virtuel, cette démarche peut rapidement se révéler réaliste et payante. Développer de telles capacités pouvait il y a encore peu de temps être considéré en décalage avec les besoins de production et l’offre technologique du moment, et représenter une prise de risque inacceptable en terme de niveau d’investissement. On constate a posteriori que de telles prises de risque pouvaient, voire devaient, être encouragées dans certains domaines. Qui aurait par exemple pu prévoir qu’en 2020, avoir conservé un outil de production de masques chirurgicaux eût représenté non seulement une solution sanitaire et stratégique de premier plan, mais également un avantage compétitif majeur ?

Une organisation diversifiée, délocalisée, permet de répartir les forces productives et de favoriser l’autonomie de ses structures ; elle favorise la continuité des activités et des services publics ou des services aux clients. Elle contraste avec la tentation d’une organisation centralisée qui pourrait en première approche rassurer ou conforter par le sentiment de maîtrise et de contrôle qu’elle donne.

S’agissant du domaine cyber, rappelons que, même dans le brouillard de la guerre imaginé par Carl von Clausewitz5, une menace que l’on ne voit pas, ou que l’on ne perçoit pas, demeure réelle et reste toujours caractérisée par son auteur, une cible (identifiée ou aléatoire) et un mode opératoire. Cependant, le passage à l’acte cyber malveillant peut se concrétiser lorsque trois conditions sont réunies : l’objectif recherché est suffisamment motivant (déstabiliser des adversaires, capter de l’information…), des conditions facilitantes favorisent l’opportunité d’agir (l’espace cyber en fournit de nombreuses en exploitant toute vulnérabilité au profit de l’attaquant, offrant une forte accessibilité et un faible coût du ticket d’entrée), l’anonymat ou l’impunité sont garantis aux auteurs de malveillances – cette condition est immédiatement atteinte dans le cyberespace qui est constitué d’adresses virtuelles et peuplé d’avatars. Cette troisième condition souligne par ailleurs l’extrême difficulté d’attribution de l’attaque cyber. Finalement, le raccourcissement de l’espace et du temps combiné à l’impunité réputée acquise dans le cyberespace rendent l’atteinte d’un adversaire immédiate et à des niveaux d’impact qui peuvent être critiques.

Dans ce contexte d’incertitude et de virtuel, deux voies d’action se distinguent. Rappelons certains principes simples associés à ces deux approches. Tout d’abord, se mettre autant que possible hors d’atteinte et tirer régulièrement les dividendes du virtuel. Comme la diversification des activités et des ressources, la diversité des systèmes d’information, leur ségrégation et la capacité de remplacement d’un « compartiment défectueux » par un autre favoriseront toujours la reprise des activités en rationalisant le niveau d’exposition de l’ensemble du système. Plus encore, il est impératif d’anticiper le scénario d’un désastre informatique et de le considérer comme inéluctable pour être en capacité de faire fonctionner les services critiques d’une organisation. Il apparaît aussi nécessaire d’observer de la rigueur lorsque l’on accède au cyberespace, c’est-à-dire avec précaution et avec des objectifs précis, et de sécuriser ses actifs et infrastructures it avec régularité.

Ensuite, et même si cette finalité reste encore aujourd’hui difficile à concrétiser et à renouveler, l’identification d’attaquants cyber doit constituer un objectif systématique. Il s’agit de toujours tout mettre en œuvre pour faire lever l’avantage de l’anonymat et retrouver la capacité de sanctionner, voire de riposter. Certaines enquêtes judiciaires ont déjà permis d’identifier les auteurs d’infractions cyber. Le Centre de lutte contre les criminalités numériques de la gendarmerie nationale, désormais l’un des piliers du Commandement de la gendarmerie dans le cyberespace, créé en 2021, compte déjà des résultats concrets grâce à des investigations spécialisées utilisant l’expertise cyber. Les objectifs d’identification des attaquants, de poursuite en justice, de démantèlement de leurs réseaux par la combinaison d’actions techniques (l’expertise cyber) et de terrain (enquête et coopération de police, connaissance des réseaux d’attaquants et de leurs environnements criminels ou délictuels, de leurs ressources…) favorisent et renforcent la connaissance et la maîtrise du cyberespace tout en faisant baisser le sentiment d’impunité. Ils contribuent également à dissuader la délinquance intermédiaire des hackers de tous horizons.

Saluons une nouvelle avancée en matière d’identification d’auteurs d’attaques cyber avec la création du Malware Information Sharing Platform-Police judiciaire6, plateforme de collecte et de partage d’indicateurs de compromission et de données personnelles qui permettra de « stocker et de corréler des indicateurs de compromission d’attaques ciblées, mais également des informations sur les menaces telles que les informations sur leurs auteurs ». Cette coopération judiciaire et policière permet la mise au jour d’organisations criminelles, d’individus et de modes opératoires. Le faire davantage savoir contribuera vraisemblablement à en dissuader de nouveaux.

L’identification des attaquants cyber requiert en outre le concours et la collaboration des acteurs incontournables que sont les réseaux sociaux. Des avancées en matière de législation sont nécessaires et attendues, mais ce sujet reste complexe. Soulignons simplement la nécessité du renforcement des identités numériques sur les autoroutes d’Internet peuplées d’avatars qui n’engagent qu’un sobriquet, jamais réputation ou responsabilité propre.

La réalité des conséquences des attaques cyber, d’une part, celle de l’évolution du climat, d’autre part, nous conduisent à désormais prendre en compte leur menace plutôt qu’une approche unique par les risques. Dans les deux cas, le virtuel constitue une ressource de premier plan, nécessaire, qui ne doit cependant pas nous laisser tout miser sur lui, mais, au contraire, nous pousser sans cesse à rechercher toute solution possible dans le présent, c’est-à-dire dans le concret et le réel. Il semble donc prudent de conserver en permanence le même questionnement du réel et du virtuel, avec humilité. Si le réel est l’humilité de l’incertitude, le virtuel doit être l’humilité de la certitude.