L'essentiel à connaître
Le cyberespace n'est pas un monde virtuel : c'est un espace réel que les États se disputent comme un territoire. Exemple : plus de 99 % des échanges internationaux de données passent par des câbles posés au fond des mers (UIT, l'agence de l'ONU pour les télécommunications, 2024). Qui tient les câbles, les serveurs ou les données tient une part de la puissance.
Définition : le cyberespace est l'espace de communication créé par l'interconnexion mondiale des machines. Il a trois couches : matérielle (câbles, serveurs, routeurs), logique (logiciels et protocoles, ces règles qui font dialoguer les machines) et sémantique, ou informationnelle (les informations qui circulent).
Ses acteurs sont variés : États, géants américains du numérique (les GAFAM), cybercriminels, et l'ICANN, société à but non lucratif basée aux États-Unis qui coordonne les noms de domaine (.com, .fr). Une attaque peut espionner, saboter, extorquer une rançon ou manipuler l'opinion. Le ver Stuxnet (un programme malveillant qui se propage seul), découvert en 2010, a mis hors d'usage des centrifugeuses nucléaires iraniennes. Les États-Unis et Israël sont soupçonnés, sans confirmation officielle américaine : c'est le problème de l'attribution, l'identification sûre de l'attaquant.
Les données opposent liberté et contrôle. La Chine reste reliée à internet, mais filtre ce qui entre et sort par un immense pare-feu (un filtre placé entre deux réseaux), la « Grande Muraille » numérique. La Russie impose de stocker les données de ses citoyens sur des serveurs situés en Russie. Le règlement européen sur les données personnelles (RGPD), applicable depuis le 25 mai 2018, vise aussi les entreprises étrangères qui proposent un service à des personnes dans l'Union. Le Cloud Act américain (mars 2018) permet d'exiger d'une entreprise soumise au droit américain des données stockées à l'étranger. Tout cela touche à la souveraineté numérique, la capacité d'un État à agir dans le cyberespace (Sénat, 2019).
La coopération existe aussi : la convention de Budapest sur la cybercriminalité (2001), préparée au Conseil de l'Europe, et l'OTAN, pour qui une cyberattaque majeure peut conduire, au cas par cas, à invoquer l'article 5 (la défense collective). En France, défense et attaque sont séparées : l'ANSSI protège les réseaux de l'État et des opérateurs vitaux ; le COMCYBER, créé en 2017 sous l'autorité du chef d'état-major des armées, conduit les opérations militaires dans le cyberespace.
À retenir : une donnée est toujours stockée quelque part. Pour savoir qui peut l'exiger, regarde où elle se trouve, mais aussi à quel droit obéit l'entreprise qui la garde.
Quiz : teste tes connaissances
Les questions montent en difficulté : les trois dernières sont les plus piégeuses.
Question 1 : Selon l'UIT (2024), par où passent plus de 99 % des échanges internationaux de données ?
Réponse : A. Les câbles sous-marins portent l'essentiel du trafic entre continents, ce qui en fait des points sensibles. Le piège, ce sont les satellites : avec les autres liaisons, ils pèsent moins de 1 % de ces échanges.
Question 2 : Une campagne de fausses informations sur un réseau social vise surtout quelle couche du cyberespace ?
Réponse : C. La campagne ne casse aucune machine et ne modifie aucun code : elle agit sur ce que les gens lisent et croient. Le piège B confond le support et la cible : le réseau social transporte le message, mais c'est l'opinion qui est visée.
Question 3 : Quel acteur coordonne, à l'échelle mondiale, le système des noms de domaine (.com, .fr) ?
Réponse : D. Fondée en 1998, l'ICANN est un acteur non étatique au cœur d'internet. Le piège B a été vrai en partie : le gouvernement américain supervisait ce rôle, mais il a cessé de le faire en octobre 2016.
Question 4 : Stuxnet modifiait la vitesse des centrifugeuses iraniennes de Natanz jusqu'à les rendre hors d'usage. De quel type d'attaque s'agit-il ?
Réponse : B. Stuxnet a montré qu'un programme peut abîmer des machines bien réelles : c'est du sabotage. Le piège A vient du mot « nucléaire » : un espion copie des secrets, il ne casse pas les machines.
Question 5 : Qu'est-ce que la « Grande Muraille » numérique chinoise ?
Réponse : D. La Chine reste reliée à internet, mais l'État contrôle ce qui entre et sort de son espace numérique. Le piège A confond filtrer et couper : le réseau chinois n'est pas séparé du reste du monde.
Question 6 : En France, qui conduit les opérations militaires dans le cyberespace ?
Réponse : A. Le COMCYBER mène la lutte informatique défensive, offensive et d'influence des armées. Le piège B est tentant, mais le modèle français sépare clairement défense et attaque : l'ANSSI protège, elle n'attaque pas.
Question 7 : Une entreprise installée aux États-Unis propose une application gratuite à des lycéens en France. Le RGPD s'applique-t-il ?
Réponse : C. Le RGPD vise aussi les entreprises installées hors de l'Union qui proposent un service, payant ou non, à des personnes qui s'y trouvent. Le piège A oublie cette portée extraterritoriale, c'est-à-dire au-delà des frontières de l'Union.
Question 8 : Un pays de l'OTAN subit une cyberattaque majeure. Que prévoit l'Alliance ?
Réponse : D. Pour l'OTAN, le cyberespace est un milieu d'opérations depuis 2016, et une cyberattaque grave peut conduire les Alliés à invoquer la défense collective. Le piège A oublie la décision politique : rien n'est automatique.
Question 9 : La convention de Budapest sur la cybercriminalité (2001) a été préparée au sein de quelle organisation ?
Réponse : A. Le Conseil de l'Europe a préparé ce traité, ouvert aussi à des États qui n'en sont pas membres. Le piège B vient des noms : le Conseil de l'Europe n'est ni l'Union européenne ni le Conseil européen.
Question 10 : Que peux-tu écrire dans une copie sur l'auteur de Stuxnet ?
Réponse : C. Des révélations de presse ont renforcé les soupçons, mais les autorités américaines ne les ont pas confirmées. C'est tout le problème de l'attribution : l'auteur peut nier. Le piège A transforme un soupçon en aveu.
Question 11 : Une entreprise française confie ses données à un hébergeur américain qui les stocke en France. Que faut-il retenir ?
Réponse : B. Le Cloud Act permet d'exiger d'une entreprise soumise au droit américain les données qu'elle contrôle, où qu'elles soient stockées. Le piège A ne regarde que le lieu de stockage : il faut aussi savoir à quel droit obéit l'hébergeur.
Sources
Programme de spécialité histoire-géographie, géopolitique et sciences politiques (HGGSP) de terminale, thème 6 : Bulletin officiel spécial n° 8 du 25 juillet 2019.
Sénat, rapport d'enquête « Le devoir de souveraineté numérique », n° 7 (2019-2020).
Union internationale des télécommunications, communiqué du 29 novembre 2024 sur les câbles sous-marins.