Rapport explicatif

de lutter contre toute manipulation non autorisée d'installations de télécommunication par des transmissions au moyen de techniques de télécommunication, visait, par exemple, à prévenir la diffusion de logiciels mal- veillants et à bloquer des attaques contre la disponibilité des services Internet (attaques DDoS), mais pas l'accès physique ni la prévention de l'accès (backdoors) à un ordinateur ou à un logiciel.

La proposition de modification de l'OST correspond donc à l'intention exprimée dans le message. Les mesures et les raisons de les introduire sont présentées dans les chapitres suivants.

1.2.2.1 Mesure 1: Obligation pour les fournisseurs de filtrer les paquets IP dont l'adresse IP source est falsifiée (spoofing)

Les paquets IP envoyés avec de fausses adresses IP sources sont les principaux déclencheurs des at- taques contre la disponibilité des services web (attaques DDoS). Ces attaques sont encore très fréquentes et provoquent de gros dégâts. Les spécialistes de la sécurité chez NetScout ont identifié globalement plus de 10 millions d'attaques DDoS pour l'année 2020²¹. Les coûts de ces attaques sont très difficiles à estimer, car ils dépendent fortement de l'importance des services web pour les activités commerciales d'une entre- prise, mais il est clair qu'ils peuvent avoir de graves conséquences financières pour les victimes. En outre, si les attaques touchent la disponibilité des infrastructures critiques, les conséquences peuvent aller bien audelà des dommages financiers. Dans le cas des hôpitaux ou des entreprises d'approvisionnement en éner- gie, par exemple, la vie et l'intégrité physique peuvent être menacées.

Des possibilités techniques de filtrage des adresses IP sources falsifiées permettent depuis des années de rendre les attaques DDoS beaucoup plus difficiles²². Toutefois, elles sont trop peu exploitées²³, peut-être par manque d'incitations économiques²⁴. Les fournisseurs supportent des coûts lors de la mise en place du filt- rage, mais l'effet protecteur ne peut être internalisé (il consiste à rendre les attaques DDoS généralement plus difficiles à réaliser)²⁵. Il y a donc un problème classique de "bien commun", même s'il est atténué par le fait que les coûts de mise en place des filtres ont tendance à diminuer²⁶. L'introduction d'une obligation générale de filtrage pourrait désamorcer ce problème; dans ce cas, tous les fournisseurs contribueraient à rendre plus difficile la réalisation d'attaques DDoS.

1.2.2.2 Mesure 2: Obligation pour les fournisseurs d'assurer la sécurité des appareils qu'ils mettent à la disposition des clients conformément à l'état actuel de la technique

En raison de leur utilisation très répandue, les appareils et équipements terminaux (CPE ou "Customer Premises Equipment") remis par les fournisseurs à leurs clients jouent un rôle majeur dans la cybersécurité. S'ils présentent des vulnérabilités généralisées, les pirates peuvent accéder à des milliers d'appareils et utili- ser leur puissance de traitement pour mener des attaques, par exemple des attaques DDoS²⁷. Les routeurs, qui sont livrés avec des mots de passe par défaut, constituent un exemple classique de ce problème. La question de la configuration sécurisée des appareils et équipements terminaux devient encore plus im- portante avec la multiplication très rapide des appareils connectés de l'internet des objets²⁸. Si les équipe- ments fournis aux utilisateurs finaux ne sont pas configurés de manière sécurisée, les pirates peuvent les manipuler très facilement pour ensuite exploiter leur puissance de traitement²⁹.

Une obligation légale pour les fournisseurs de configurer les terminaux de manière sécurisée est nécessaire, car les coûts du manque de sécurité ne seraient pas supportés par la collectivité, mais par ceux qui distribu- ent des appareils. Les fournisseurs souhaitent obtenir les coûts les plus bas possibles pour l'achat et la liv- raison des appareils. Or, les prescriptions de sécurité peuvent augmenter les prix. Afin que les fournisseurs qui attachent une grande importance à la sécurité ne soient pas pénalisés par le marché, il est nécessaire de fixer des exigences minimales applicables à tous. La réglementation correspond à l'intention du Conseil