Le président Donald Trump a signé vendredi un décret remaniant les politiques américaines de cybersécurité en supprimant plusieurs initiatives des administrations Biden et Obama. Le décret recentre les efforts sur les cybermenaces étrangères tout en limitant les sanctions contre les acteurs nationaux, notamment celles liées à d’éventuelles attaques informatiques visant des élections.
La Maison-Blanche a jugé ces changements nécessaires pour éliminer les « problèmes problématiques et sources de distraction » de la politique de cybersécurité.
« La cybersécurité est trop importante pour être réduite à un simple ballon politique », l’administration a indiqué dans une fiche d’information.
Le décret de Trump modifie et remplace des pans importants des décrets 13694 et 14028, deux politiques majeures de cybersécurité adoptées par les administrations précédentes. Le nouveau décret met de nouveau l’accent sur la protection des réseaux du pays contre des acteurs étrangers hostiles comme la Chine, la Russie, la Corée du Nord et l’Iran.
« La République populaire de Chine représente la cybermenace la plus active et la plus persistante pour les réseaux du gouvernement des États-Unis, du secteur privé et des infrastructures critiques », indique le décret.
Principaux changements apportés par le décret
Le décret modifie une politique datant de 2015, héritée de l’ère Obama (décret 13694), qui autorisait des sanctions contre les personnes responsables de cyberattaques visant les infrastructures américaines. La nouvelle version précise que seules les « personnes étrangères » peuvent être sanctionnées, et non les acteurs nationaux.
Selon la fiche d’information de la Maison-Blanche, le décret « limite l’application des sanctions informatiques aux seuls acteurs malveillants étrangers, empêchant leur utilisation abusive contre des opposants politiques nationaux et précisant que les sanctions ne s’appliquent pas aux activités liées aux élections ».
Ce changement pourrait offrir une certaine protection aux hackers américains qui risqueraient autrement d’être pris dans le vaste filet des politiques de lutte contre la cybercriminalité, à condition qu’ils ne travaillent pas pour des gouvernements étrangers ou ne causent pas de dommages à l’étranger.
Le décret de Trump vise également à supprimer ce qu’il qualifie de « mesures inappropriées dépassant le cœur des enjeux de cybersécurité ». Cela comprend la suppression des obligations concernant les identités numériques qui, selon la Maison-Blanche, « auraient facilité la fraude aux prestations sociales et d’autres abus ».
L’administration Biden avait exigé des fournisseurs de logiciels fédéraux qu’ils prouvent qu’ils appliquaient des pratiques de développement sécurisé, en réaction aux importantes failles de sécurité. Le décret de Trump supprime ces obligations, les qualifiant de « processus de comptabilisation logicielle non éprouvés et contraignants, qui privilégiaient les listes de contrôle de conformité au détriment de véritables investissements dans la sécurité ».
À la place, le National Institute of Standards and Technology (NIST) collaborera avec les leaders du secteur pour élaborer des lignes directrices sur le développement sécurisé des logiciels.
L’informatique quantique et l’IA au cœur du décret
Une part importante du décret porte sur les menaces futures, en particulier celles posées par les ordinateurs quantiques capables de casser la cryptographie moderne. Le décret ordonne à des agences comme la NSA et la CISA de commencer à déployer des systèmes compatibles avec la cryptographie post-quantique (PQC) d’ici janvier 2030.
Dans le domaine de l’IA, le décret ordonne la mise à disposition de jeux de données de recherche en cybersécurité à la communauté universitaire d’ici le 1er novembre 2025, tout en chargeant les agences de sécurité nationale de traiter les vulnérabilités de l’IA de la même manière que les exploits informatiques traditionnels.
« L’intelligence artificielle (IA) pourrait transformer la cyberdéfense en identifiant rapidement les vulnérabilités, en accroissant l’ampleur des techniques de détection des menaces et en automatisant la cyberdéfense », peut-on lire dans le décret.
Ce que cela signifie pour la suite
Le décret du président Trump marque un tournant majeur dans la stratégie de cybersécurité, en revenant sur plusieurs initiatives de ses prédécesseurs tout en mettant l’accent sur les mesures de défense traditionnelles, les mises à niveau techniques et les adversaires étrangers.
L’administration Trump affirme qu’elle « fera tout ce qui est nécessaire pour assurer la cybersécurité de l’Amérique, notamment en mettant résolument l’accent sur le professionnalisme technique et organisationnel afin d’améliorer la sécurité et la résilience des systèmes et réseaux d’information du pays ».