Ces dernières années, la souveraineté numérique est devenue une priorité dans les stratégies européennes et nationales. La discussion a porté principalement sur la localisation des données, la disponibilité des infrastructures cloud européennes et, plus récemment, la capacité à développer des modèles et des infrastructures d'intelligence artificielle. Pour Antonio Pescapè, Professeur titulaire de réseaux informatiques, d'analyse de données et de cybersécurité à l'Université de Naples Federico IIle risque, cependant, est de n’examiner qu’une partie du problème. La dépendance technologique, notamment lorsqu'elle concerne les systèmes appelés à protéger les réseaux et les infrastructures critiques, introduit une dimension de souveraineté qui va bien au-delà de la simple localisation des données.
Professeur, commençons par là : a-t-on bien interprété la notion de souveraineté numérique ?
A mon avis non. Nous avons en partie mal compris le sens même de la souveraineté numérique. Depuis des années, le débat porte presque exclusivement sur le cloud, la localisation des données, les centres de données et, plus récemment, l’intelligence artificielle. Ce sont autant de questions importantes, mais elles risquent de laisser dans l’ombre une question encore plus décisive. Un pays n’est pas véritablement souverain simplement parce qu’il décide où conserver ses données. Cela le devient lorsqu’il contrôle également les technologies grâce auxquelles ces données sont protégées. Et c’est ce point que nous sous-estimons encore.
Quelle est la situation en Italie de ce point de vue ?
L'Italie possède d'excellentes universités, des groupes de recherche de renommée internationale, des entreprises innovantes et une expertise scientifique de haut niveau. Pourtant, un élément fondamental de la cybersécurité de nos infrastructures critiques, des grandes entreprises et de l’administration publique continue de s’appuyer sur des plateformes développées principalement aux États-Unis ou au sein de l’écosystème technologique israélien.
Il ne s’agit pas de critiquer ces technologies. Beaucoup représentent simplement ce qu’il y a de mieux sur le marché aujourd’hui. Le problème n’est pas d’acheter des technologies américaines ou israéliennes, mais de ne pas avoir d’alternatives italiennes ou européennes lorsque ces technologies deviennent des infrastructures stratégiques.
Pourquoi la provenance d’une plateforme de cybersécurité est-elle si importante ?
Parce qu’une plateforme de cybersécurité moderne n’est pas un logiciel que l’on installe une fois puis que l’on oublie. Il s'agit d'un système qui évolue continuellement grâce à des mises à jour, de nouvelles signatures de détection, des modèles d'intelligence artificielle, des indicateurs de compromission et des règles de réponse aux attaques.
Celui qui contrôle cette évolution contrôle, en fait, une partie de la capacité de défense du pays.
L’incident CrowdStrike de juillet 2024 l’a démontré très clairement. Il n'a pas fallu une cyberattaque : il a suffi d'une seule mise à jour défectueuse pour causer des problèmes aux aéroports, aux hôpitaux, aux banques, aux compagnies aériennes et aux entreprises du monde entier.
Le problème ne concerne cependant pas uniquement les mises à jour. Se pose également la question des données collectées par ces plateformes.
Les plateformes de cybersécurité modernes collectent quotidiennement d’énormes quantités de données télémétriques : processus en cours d’exécution, configurations système, vulnérabilités, identités numériques, trafic réseau, comportements des utilisateurs et architectures d’infrastructure informatique.
Il s’agit d’informations essentielles pour identifier rapidement une attaque et répondre aux menaces, mais elles constituent également une représentation extrêmement détaillée du fonctionnement de nos organisations.
C'est précisément pour cette raison qu'ils représentent un atout d'une valeur énorme, même du point de vue opposé : connaître en profondeur une infrastructure signifie disposer d'informations potentiellement précieuses pour construire des capacités offensives.
Y a-t-il également une question juridique à cela ?
La localisation géographique des données n’épuise pas le problème de la souveraineté.
La juridiction à laquelle est soumis le fabricant de la technologie doit également être prise en compte. Une plateforme peut traiter ou stocker des données en Europe, mais l'entité qui la contrôle peut continuer à se conformer aux lois du pays dans lequel elle est basée.
C'est un élément pertinent lorsque l'on parle d'infrastructures et de systèmes stratégiques qui ont accès à des informations extrêmement sensibles.
Quel est l’impact de ce que l’on appelle le verrouillage du fournisseur ?
Cela a un impact de plus en plus important, car les plateformes de sécurité sont de plus en plus intégrées.
Endpoints, cloud, identités numériques, intelligence artificielle et Security Operation Centers ont désormais tendance à converger au sein d’écosystèmes technologiques très complexes. Plus cette intégration augmente, plus il devient difficile de remplacer une plateforme sans avoir à repenser une partie significative de l'architecture de sécurité de l'organisation.
Le thème de la souveraineté concerne donc aussi la capacité de choisir. Si un pays ou une organisation ne dispose pas d’alternatives technologiques véritablement utilisables, son autonomie est réduite.
C’est pourquoi je continue de soutenir que la cybersécurité n’est pas simplement l’un des outils grâce auxquels nous défendons la souveraineté numérique. La cybersécurité est elle-même une composante de la souveraineté nationale.
Dans son raisonnement, il cite le modèle israélien. Que peut-il nous apprendre ?
Le cas de Wiz illustre très bien cette dynamique. Il s'agit d'une startup née en Israël qui, en l'espace de quelques années, a réussi à devenir l'un des principaux acteurs mondiaux de la sécurité du cloud, jusqu'au rachat pour 32 milliards de dollars par Google.
Il ne faut pas considérer cette affaire uniquement comme une opération financière extraordinaire. Il démontre comment un écosystème peut transformer la recherche, le capital, l’innovation et la politique industrielle en leadership technologique mondial.
La question que l’on doit se poser est de savoir pourquoi certains écosystèmes sont capables de transformer leurs compétences scientifiques en grandes entreprises technologiques, alors que d’autres ont plus de difficulté à opérer cette transition.
On arrive alors à la question centrale : que doit faire concrètement l’Italie ?
La réponse, à mon avis, ne consiste pas simplement à accroître les investissements. Nous avons besoin d'une politique industrielle.
Israël n’est pas devenu une puissance mondiale en matière de cybersécurité parce qu’il a publié davantage de notifications. Les États-Unis ne dominent pas cette industrie simplement parce qu’ils dépensent plus d’argent.
Tous deux ont construit des écosystèmes dans lesquels les universités, la recherche, la défense, le renseignement, le capital-risque, l’industrie et les administrations publiques opèrent comme parties du même système.
La recherche génère des startups, les startups deviennent des entreprises, certaines se transforment en champions industriels mondiaux et réinvestissent des capitaux, des compétences et des personnes dans la recherche, alimentant ainsi un nouveau cycle d’innovation.
Et est-ce précisément cette transition qui reste difficile en Italie ?
L’Italie réussit souvent très bien à financer le début du voyage, tout en rencontrant de plus grandes difficultés lors de la phase suivante, celle de la croissance.
Nous pouvons financer des recherches de calibre mondial et soutenir la création de nouvelles entreprises. Mais s’ils ne disposent pas du capital, du marché, des compétences managériales et des opportunités nécessaires pour se développer, ils pourront difficilement se transformer en grands acteurs internationaux.
Ce n’est donc pas seulement le montant que vous investissez qui compte, mais surtout la façon dont les ressources sont utilisées ?
Chaque euro investi dans la cybersécurité peut produire deux résultats profondément différents.
Il peut contribuer à construire une propriété intellectuelle italienne et européenne, de nouvelles plateformes technologiques et des entreprises capables d'être compétitives sur les marchés internationaux.
Ou encore, cela peut se traduire par l’achat de technologies déjà développées ailleurs, augmentant ainsi le chiffre d’affaires des grands fournisseurs étrangers.
Ce sont deux stratégies profondément différentes. Un seul construit la souveraineté.
NIS2 et les investissements de l’Agence Nationale de Cybersécurité peuvent-ils représenter une opportunité pour changer ce scénario ?
NIS2, les investissements d'ACN et l'attention croissante portée à la cybersécurité représentent probablement l'une des plus grandes opportunités dont l'Italie a eu ces dernières années pour construire une véritable chaîne d'approvisionnement nationale.
Ce serait une erreur historique d’utiliser ces ressources exclusivement pour acheter des technologies développées ailleurs.
Nous devons également exploiter cette phase pour développer les capacités technologiques nationales et européennes, créer de la propriété intellectuelle, consolider les entreprises et construire des produits capables de rivaliser sur les marchés internationaux.
En fin de compte, quelle est la différence entre un pays dépendant du numérique et un pays véritablement souverain ?
Il y a une énorme différence entre un pays qui achète de la cybersécurité et un pays qui la conçoit, la développe et l’exporte.
La dépendance énergétique se mesure en mètres cubes de gaz. La dépendance numérique se mesure aux technologies stratégiques que nous ne sommes pas encore capables de construire.
Et c’est à partir de là, bien plus que de la position géographique d’un data center, que commence la véritable souveraineté numérique.