Cybersécurité et/ou droits humains

Selon la Commission européenne, seuls 12 % des internautes européens se sentent totalement en sécurité lorsqu'ils effectuent des transactions en ligne. Des menaces telles que les logiciels malveillants et la fraude en ligne privent de croissance le nombre de consommateurs et anéantissent les efforts visant à promouvoir l'économie numérique. Quant aux consommateurs ukrainiens, en février 2016, 63 % des ménages en Ukraine étaient connectés à Internet. 62 % des familles utilisent régulièrement Internet, c'est-à-dire une fois par mois. Selon la Banque mondiale, la pénétration d'Internet en Ukraine augmente en moyenne de 5 % par an. Autrement dit, les problèmes liés à la confiance en ligne et aux transactions en ligne ne feront que croître d'année en année. Il y a un demi-siècle, le terme « sécurité de l'information » a été utilisé pour la première fois avec les termes « société de l'information », « économie de la connaissance » et, plus tard, « économie numérique », etc. Aujourd'hui, on entend de plus en plus souvent « cybersécurité », « cyberguerre », « cyberattaque », « cybercriminalité ». Essayons d'abord de comprendre de quoi il s'agit. La sécurité de l'information – la préservation de la confidentialité, de l'intégrité et de la disponibilité de l'information. Il convient également de prendre en compte l'authenticité, la responsabilité, la non-répudiation et la fiabilité (ISO/IEC 17799:2005). Autrement dit, il s'agit d'actions visant à protéger l'information elle-même des citoyens et des moyens, et non l'inverse – protéger les citoyens de l'information, comme on peut parfois le lire sur Internet. Le terme « cybersécurité » concerne généralement la gouvernance d'entreprise, la gestion et l'assurance de la sécurité, qui vont au-delà de ce que nous entendons par « sécurité de l'information ». La cybersécurité se concentre sur des formes particulières d'attaques complexes et couvre leurs aspects techniques et sociaux. Comme il existe de nombreuses définitions de la cybersécurité, ce terme est souvent mal compris. La définition officielle de l'UE est la suivante : « La cybersécurité concerne généralement les mesures et actions visant à protéger le cyberespace dans les domaines civil et militaire contre les menaces susceptibles de nuire aux réseaux et infrastructures d'information interdépendants ou qui y sont liées. La cybersécurité vise à préserver la disponibilité et l'intégrité des réseaux et des infrastructures, ainsi que la confidentialité des informations qu'ils contiennent. » 1 ________________ 1 Commission européenne, Communication conjointe au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions – Stratégie de l'UE en matière de cybersécurité : un cyberespace ouvert, sûr et sécurisé, Bruxelles, 2 juillet 2013, p. 3 : http://ec.europa.eu/information_society/newsroom/cf/dae/document.cfm?doc_id=1667. L'ISACA donne la définition suivante de la cybersécurité : « La protection des actifs informationnels par la lutte contre les menaces pesant sur la sécurité des informations traitées, stockées et transmises au moyen de systèmes d'information interagissant via des réseaux. » 2 _________________ 2 ISACA, Glossaire de la cybersécurité, 2014 : http://www.isaca.org/Knowledge- Center/Documents/Glossary/Cybersecurity_Fundamentals_glossary.pdf. Dans sa publication Transformation de la cybersécurité, l'ISACA décrit la cybersécurité plus en détail : « ... La cybersécurité englobe tout ce qui protège les organisations et les individus contre les attaques délibérées, les violations, les incidents et leurs conséquences. En pratique, la cybersécurité concerne avant tout les types d'attaques, de violations et d'incidents qui sont ciblés, de haute technologie et complexes à détecter ou à gérer. ... La cybersécurité se concentre sur les menaces persistantes avancées (APT) 3 , les cyberguerres et leur impact sur les organisations et les personnes. » 4 ________________ 3 APT (advanced persistent threats) – menaces persistantes avancées. 4 ISACA, Transformation de la cybersécurité, États-Unis, 2013, p. 11 : https://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/Transforming- Cybersecurity-Using-COBIT-5.aspx Ainsi, la sécurité de l'information a un niveau inférieur à celui de la cybersécurité et diffère par l'ampleur, les motivations, les capacités et les méthodes d'attaque. Examinons l'analyse PESTLE – il s'agit d'une analyse détaillée de différents aspects de l'entreprise, à savoir politique (Political), économique (Economic), social (Social), technologique (Technical), juridique (Legal) et environnemental (Environmental), préparée par les experts de l'ISACA. 5 _________________ 5 Mise en œuvre de la cybersécurité européenne : aperçu général https://www.isaca.org/cyber La cybersécurité, contrairement à la sécurité de l'information, est assurée non seulement directement par l'organisation qui se protège, mais aussi par d'autres fournisseurs de services (télécommunications, services, cloud, etc.). Dans la plupart des cas, il s'agit de la sécurité collective des participants à l'activité sur Internet. C'est-à-dire un grand nombre d'utilisateurs qu'une seule organisation ne peut pas contrôler au sens strict du terme, mais qui ont accès à certaines ressources collectives ou le droit d'utiliser des services publics. Le fournisseur de services dispose dans ce cas d'un grand pouvoir et d'une capacité technique de gérer l'information et le transit du flux de données (trafic Internet) à travers les réseaux qu'il exploite. Les fournisseurs d'accès à Internet peuvent participer à la gestion du trafic Internet à des fins légitimes spécifiques, par exemple pour préserver l'intégrité et la sécurité du réseau. Ils peuvent également prendre des mesures pour empêcher l'accès ou la diffusion de contenus illégaux ou nuisibles, par exemple via des systèmes d'autorégulation en coopération avec les autorités publiques. Toutefois, d'autres interventions sur le trafic Internet peuvent affecter la qualité des services fournis aux internautes et entraîner le blocage, la discrimination ou la priorisation de types spécifiques de contenus, d'applications et de services. De plus, certaines des méthodes utilisées dans le contexte de la gestion de l'accès, ou la surveillance des communications, peuvent ébranler la confiance des utilisateurs envers Internet. La communauté européenne pour la réalisation des droits de l'homme sur Internet (depuis 2013, le droit d'accès à Internet est un droit fondamental de l'homme) a adopté la Recommandation CM/Rec (2016) 1 du Comité des Ministres aux États membres sur la protection et la promotion du droit à la liberté d'expression et du droit au respect de la vie privée en ce qui concerne la neutralité du Net (adoptée par le Comité Fig. 1. Analyse PESTLE des Ministres le 13 janvier 2016 lors de la 1244e réunion des délégués des ministres) et la Recommandation CM/Rec (2016) 5 du Comité des Ministres aux États membres sur la liberté d'Internet (adoptée par le Comité des Ministres le 13 avril 2016 lors de la 1253e réunion des délégués des ministres), reconnaissant les risques liés à la régulation de l'accès à Internet et aux capacités des fournisseurs de services. Comme indiqué dans la Recommandation Rec (2016) 5, les mécanismes de gouvernance d'Internet, au niveau national, régional ou mondial, doivent être fondés sur la compréhension de la liberté d'Internet. Les États ont des droits et des obligations en matière de politique internationale liée à Internet. Dans l'exercice de leurs droits souverains, les États doivent, conformément aux normes du droit international, s'abstenir de toute action susceptible de nuire directement ou indirectement à des personnes physiques ou morales à l'intérieur ou à l'extérieur de leur juridiction. Toute décision ou action nationale restreignant les droits de l'homme et les libertés fondamentales sur Internet doit être conforme aux obligations internationales et, en particulier, être fondée sur la loi. Le respect plein et entier des principes de proportionnalité et la garantie de l'accès aux voies de recours, ainsi que le droit d'être entendu et de saisir avec les garanties procédurales appropriées, doivent être importants dans une société démocratique. L'UE, comprenant toutes les conséquences possibles de la régulation technique et technologique de l'accès à Internet, souligne la nécessité de réguler au niveau de la loi les restrictions nécessaires pour assurer la sécurité collective. Cela concerne également l'obligation de l'État de protéger les personnes contre la cybercriminalité au moyen d'une justice pénale efficace ou d'autres mesures. Lorsque de telles mesures comportent un risque lié au droit à la vie privée, au droit à la liberté d'expression ou au droit à la liberté de réunion et d'association pacifiques, elles sont soumises à des conditions et des garanties contre les abus. Ces mesures doivent être conformes aux articles 8, 10 et 11 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales. En outre, elles doivent être établies au niveau de la loi. La loi doit être accessible, précise, compréhensible ; poursuivre un but légitime ; être nécessaire et proportionnée dans une société démocratique et garantir des voies de recours effectives. L'Ukraine a adhéré à la Convention de sauvegarde des droits de l'homme et des libertés fondamentales il y a déjà assez longtemps, et l'Accord d'association avec l'UE est entré en vigueur (application provisoire) il y a quelques années. Par conséquent, l'État ukrainien a déterminé que dans le domaine des droits de l'homme, il suivrait le modèle démocratique européen de régulation étatique (restriction) des droits de l'homme, notamment sur Internet. La régulation législative actuelle correspond-elle au modèle européen ? Partiellement oui. En ce qui concerne les services de télécommunications – oui, en ce qui concerne la cybersécurité – non. En 2006, l'Ukraine a adhéré à la Convention sur la cybercriminalité, reconnaissant notamment « la nécessité d'une coopération entre les États et les entreprises privées pour lutter contre la cybercriminalité et la nécessité de protéger les intérêts légitimes lors de l'utilisation et du développement des technologies de l'information ». Et pour donner suite à cette Convention, l'Ukraine devait élaborer des mécanismes de coopération entre l'État et le secteur privé en matière de cybersécurité (ci-après – mesures de cybersécurité), mais en préservant « un juste équilibre entre les intérêts répressifs et le respect des droits fondamentaux de l'homme ». Il convenait également de réviser la législation pénale de l'Ukraine en ce qui concerne l'élaboration de questions procédurales afin d'obtenir des preuves appropriées dans les infractions utilisant les réseaux et technologies d'information et de télécommunication, et de formuler la composition même de l'infraction dans le monde numérique. L'une des tâches consistait à assurer à la fois des spécialistes capables d'enquêter sur les infractions sans piratage ni saisie de serveurs, et des spécialistes capables d'établir adéquatement les faits pertinents devant le tribunal. Comme vous le comprenez, tout ne va pas si bien 11 ans après l'adhésion à la Convention sur la cybercriminalité. Actuellement, il n'existe que la Stratégie de cybersécurité de l'Ukraine, approuvée par décret du Président de l'Ukraine il y a 1,5 an, et le projet de loi 2126а, qui a été soumis à l'examen de la Verkhovna Rada d'Ukraine et a été renvoyé pour une deuxième lecture répétée. En analysant le projet de loi No 2126а quant à la présence de mesures de cybersécurité, notons qu'aucune de celles énumérées ci-dessus n'y figure. L'introduction de modifications à la législation pénale et procédurale, l'établissement de mécanismes de partenariat public-privé sont également absents. De même, il n'y a pas de décryptage (interprétation) de la manière dont le respect des principes de cybersécurité est atteint. D'ailleurs, la cybersécurité et la cyberdéfense dans la variante ukrainienne sont deux choses différentes, comme on dit à Odessa. Dans d'autres pays, la cybersécurité désigne précisément les mesures de protection, comme mentionné ci-dessus. Selon nous, l'adoption de ladite loi ne garantira pas la réalisation de l'objectif décrit dans son préambule : le projet de loi ne contient pas d'articles pour la mise en œuvre des principes de garantie de la cybersécurité, et la définition des objets d'infrastructure critique et de toutes les questions qui y sont liées est généralement renvoyée à un autre niveau – les résolutions et ordonnances du Cabinet des Ministres. D'ailleurs, le terme « cybersécurité » du projet de loi comporte un détail intéressant : « cybersécurité – protection des intérêts vitaux de l'homme et du citoyen, de la société et de l'État lors de l'utilisation du cyberespace, garantissant le développement durable de la société de l'information et de l'environnement de communication numérique, la détection, la prévention et la neutralisation en temps utile des menaces réelles et potentielles à la sécurité nationale de l'Ukraine dans le cyberespace ; ». La loi de l'Ukraine « Sur les fondements de la sécurité nationale de l'Ukraine » définit la sécurité nationale comme suit : « sécurité nationale – protection des intérêts vitaux de l'homme et du citoyen, de la société et de l'État, garantissant le développement durable de la société, la détection, la prévention et la neutralisation en temps utile des menaces réelles et potentielles aux intérêts nationaux dans les domaines de l'activité répressive, de la lutte contre la corruption, des activités frontalières et de la défense, de la politique migratoire, de la santé, de l'éducation et de la science, de la politique scientifique, technique et d'innovation, du développement culturel de la population, de la garantie de la liberté d'expression et de la sécurité de l'information, de la politique sociale et de la protection des pensions, du logement et des services communaux, du marché des services financiers, de la protection des droits de propriété, des marchés boursiers et de la circulation des valeurs mobilières, de la politique fiscale et budgétaire et douanière, du commerce et de l'activité entrepreneuriale, du marché des services bancaires, de la politique d'investissement, de l'activité d'audit, de la politique monétaire et de change, de la protection de l'information, de l'octroi de licences, de l'industrie et de l'agriculture, des transports et des communications, des technologies de l'information, de l'énergie et des économies d'énergie, du fonctionnement des monopoles naturels, de l'utilisation du sous-sol, des ressources foncières et hydriques, des minéraux, de la protection de l'écologie et de l'environnement naturel et d'autres domaines de l'administration publique en cas d'apparition de tendances négatives à la création de menaces potentielles ou réelles aux intérêts nationaux ». Rien ne vous a surpris ? Donc la cybersécurité doit assurer la détection, la prévention et la neutralisation en temps utile des menaces aux intérêts nationaux. L'une des menaces (article 7 de la loi de l'Ukraine « Sur les fondements de la sécurité nationale de l'Ukraine ») est « dans le domaine de l'information : les manifestations de restriction de la liberté d'expression et de l'accès à l'information publique ; la diffusion par les médias du culte de la violence, de la cruauté, de la pornographie ; la criminalité informatique et le terrorisme informatique ; la divulgation d'informations constituant un secret d'État ou d'autres informations à accès restreint, visant à satisfaire les besoins et à assurer la protection des intérêts nationaux de la société et de l'État ; les tentatives de manipulation de la conscience publique, notamment par la diffusion d'informations inexactes, incomplètes ou partiales ». Il semble qu'on ait un peu trop compliqué les choses. Le projet de loi ne parle pas des droits et des restrictions des droits, mais une curieuse astuce juridique « la garantie de la cybersécurité en Ukraine est fondée sur les principes : 1) de l'État de droit, de la légalité, du respect des droits de l'homme et des libertés fondamentales et de leur protection dans l'ordre déterminé par la loi » prouve le contraire : soit il existe déjà une loi décrivant l'ordre de protection des droits et libertés, soit elle sera encore élaborée – le projet de loi ne donne pas de réponse. S'il s'agissait des actes législatifs sur la protection des données personnelles ou sur l'accès à l'information publique, ou sur la garantie de l'accès à Internet – on aurait pu y renvoyer. En général, les questions sont plus nombreuses que les réponses. Il est bon qu'il soit possible d'examiner le projet de loi (les normes qui y sont inscrites) de manière critique. CONCLUSION : Cet article n'avait pas pour but d'examiner en détail la violation de droits et libertés spécifiques en lien avec les mesures de garantie de la cybersécurité, mais seulement les notions, principes et leur essence fondamentaux pour comprendre que la coexistence des droits et des libertés est possible. La sécurité ne se crée pas en échange des droits et libertés, mais seulement avec eux. Rien ne coûte aussi cher que la liberté. Et les restrictions (et non les interdictions !!!) au profit de la sécurité collective peuvent et doivent être mises en œuvre, mais à une condition – la loi doit être accessible, précise, compréhensible ; poursuivre un but légitime ; être nécessaire et proportionnée dans une société démocratique et garantir des voies de recours effectives. La loi et rien que la loi doit être ! © ТОВ "Інформаційно-аналітичний центр "ЛІГА", 2017 © ТОВ "ЛІГА ЗАКОН", 2017