Le Japon envisage d’étendre la surveillance dans le cadre de sa cyberdéfense aux communications nationales

Les communications nationales deviennent une nouvelle priorité

Le Japon envisage d’étendre ses lois sur la cyberdéfense active afin d’autoriser les autorités à recueillir des données sur les communications entièrement effectuées dans le pays. Le dispositif actuel couvre les communications entre des lieux situés à l’étranger ainsi que celles entre le Japon et l’étranger.

Le 6 novembre, lors d’une réunion sur la cybersécurité, la Première ministre Sanae Takaichi a chargé les ministres d’examiner des amendements qui renforceraient la capacité du gouvernement à recueillir des informations sur les cyberattaques. Les partis au pouvoir ont recommandé d’inclure les communications nationales, et le gouvernement prévoit de tenir compte de cette proposition.

Cette proposition s’inscrit dans le cadre d’un plan d’urgence en matière de cybersécurité, financé à hauteur de 10 milliards de yens, soit environ 63 millions de dollars, sur les fonds de réserve de l’exercice 2026. Il prévoit notamment le recours à l’intelligence artificielle pour détecter les menaces, la création d’équipes spécialisées dans la réponse aux attaques et une aide aux entreprises touchées.

La question centrale est celle de l’étendue des prérogatives de collecte d’informations du gouvernement. Un échange entre deux lieux situés au Japon ne relève pas des catégories de communications dont la surveillance est prévue par le cadre actuel de cyberdéfense active. Modifier cette limite ferait entrer une nouvelle catégorie de communications dans le champ potentiel du dispositif.

Pour les entreprises, le dispositif en cours de déploiement entraîne aussi des obligations concrètes. Il concerne 258 opérateurs d’infrastructures critiques répartis dans 15 secteurs, qui doivent communiquer des informations sur leurs systèmes informatiques importants et signaler les cyberincidents graves. Les services financiers, l’aviation, l’électricité, les télécommunications, les ports et les cartes de crédit figurent parmi les secteurs concernés.

Le Japon poursuit donc plusieurs changements de front : élargissement des pouvoirs juridiques, renforcement des capacités techniques et coopération plus étroite avec les entreprises qui exploitent des services essentiels. L’extension proposée aux communications nationales est encore à l’étude ; aucune date n’a été annoncée pour le dépôt ou l’adoption d’un amendement.

Ce que recouvre la cyberdéfense active

La cyberdéfense active, souvent désignée par le sigle ACD, vise à repérer et à neutraliser les cyberattaques avant qu’elles ne causent de graves dommages. Elle ne consiste pas seulement à attendre qu’une organisation découvre une intrusion pour l’aider ensuite à se rétablir.

Le dispositif japonais prévoit de recueillir des informations sur les menaces et, sous certaines conditions légales, d’autoriser la police ou les Forces d’autodéfense à accéder aux serveurs utilisés par les attaquants pour neutraliser les programmes malveillants. Un serveur est un ordinateur qui fournit des services ou des données à d’autres ordinateurs. Les attaquants peuvent s’en servir pour envoyer des instructions à un logiciel malveillant présent dans le réseau d’une victime.

Neutraliser un tel programme peut interrompre une attaque. Pour cela, il faut toutefois repérer le serveur concerné et disposer d’informations sur le déroulement de l’attaque et les systèmes impliqués. Cela explique en partie pourquoi le gouvernement examine ses pouvoirs de collecte de renseignements en parallèle de sa capacité à mener des actions de perturbation.

La proposition concernant les communications nationales porte sur les lieux où les autorités pourraient recueillir des informations sur les communications. Les dispositions relatives à l’intervention sur les serveurs concernent ce que les autorités peuvent faire contre les infrastructures utilisées pour une attaque. Ces deux volets relèvent de la cyberdéfense active, mais remplissent des fonctions différentes.

Pourquoi la limite nationale est importante

Le dispositif actuel distingue les communications entre des lieux situés à l’étranger, celles entre le Japon et un autre pays et celles qui se déroulent entièrement au Japon. Les deux premières catégories sont couvertes ; la troisième est exclue de ce cadre de surveillance.

Les cyberattaques peuvent impliquer plusieurs ordinateurs, et pas seulement une connexion directe entre un attaquant et sa victime. Une machine compromise peut relayer des instructions ou du trafic malveillant. Pour les enquêteurs, l’emplacement des ordinateurs qui acheminent ce trafic détermine les pouvoirs juridiques disponibles.

Étendre le dispositif aux échanges nationaux élargirait les informations que les autorités pourraient examiner pour retracer une attaque à travers des systèmes situés au Japon. La portée concrète dépendrait du libellé de l’amendement et de ses règles d’application, notamment des données visées, des conditions d’accès et du traitement des informations recueillies.

Les communications nationales concernent aussi les particuliers et les entreprises qui utilisent des services dans leur propre pays. Les règles relatives à la sélection, à l’accès, à la conservation et au contrôle des données seront donc essentielles pour comprendre comment un dispositif élargi fonctionnerait au quotidien.

Un plan d’urgence après des attaques contre des entreprises

Le gouvernement de Takaichi a approuvé ses mesures d’urgence lors d’une réunion qu’elle présidait, à la suite d’une série de fuites importantes de données personnelles. Une attaque par rançongiciel visant GMO Internet Group l’a amenée à ordonner la préparation de ce plan la semaine précédente.

Un rançongiciel est un logiciel malveillant utilisé pour prendre en otage des données ou des systèmes informatiques, généralement en exigeant une rançon. Une entreprise touchée peut devoir contenir l’intrusion, déterminer quels systèmes sont sûrs et rétablir ses services, tout en enquêtant pour savoir si des informations ont été dérobées.

Le plan d’urgence couvre quatre domaines : le renforcement de la sécurité grâce à l’intelligence artificielle, l’amélioration de la collecte de renseignements, les réponses stratégiques aux attaques et un meilleur soutien aux victimes. Une partie de l’enveloppe de 10 milliards de yens servira à renforcer les capacités de collecte de renseignements de la police.

Le gouvernement prévoit également de créer une équipe de spécialistes de la cybersécurité chargée de contrer les attaquants. Une équipe distincte, réunissant des acteurs publics et privés, aidera les entreprises victimes d’attaques, tandis qu’une autre unité conseillera celles qui font face à des menaces potentielles.

Ces équipes interviendront à différents moments d’un incident. Des conseils peuvent aider une entreprise dès l’apparition d’une menace ; une intervention spécialisée peut soutenir la réponse à une attaque en cours ; une aide au rétablissement peut accompagner une entreprise touchée dans la gestion des conséquences. L’intelligence artificielle servira aussi à repérer les vulnérabilités des systèmes informatiques.

De nouvelles obligations pour les opérateurs d’infrastructures

Le 30 septembre, le Bureau national de la cybersécurité du Secrétariat du Cabinet et le Cabinet ont publié des documents d’application détaillant le déploiement de la loi sur la réponse aux cyberattaques. La mise en place des dispositifs organisationnels et la coopération avec les opérateurs d’infrastructures critiques ont commencé le 1er octobre.

Le dispositif concerne 258 opérateurs désignés dans 15 secteurs. Leurs services sont étroitement liés à la vie quotidienne : une interruption peut affecter les paiements, l’électricité, les communications, les transports ou l’acheminement des marchandises par les ports.

Les opérateurs concernés doivent déclarer au ministre responsable de leur secteur les systèmes informatiques importants désignés, en indiquant notamment le nom des produits utilisés. Selon le calendrier de mise en œuvre, les systèmes déjà en service doivent être déclarés d’ici au mois de mars de l’année suivante. Les nouveaux systèmes doivent être signalés dans les quatre mois suivant leur introduction.

Le gouvernement prévoit de comparer ces inventaires aux informations sur les vulnérabilités qui n’ont pas encore été rendues publiques. Une vulnérabilité est une faiblesse dans un logiciel ou un équipement qu’un attaquant pourrait exploiter. Savoir quel opérateur utilise un produit concerné permet aux autorités d’adresser une alerte ciblée à l’entreprise qui en a besoin.

Les incidents graves doivent être signalés au gouvernement

À compter du 1er octobre, les opérateurs concernés doivent signaler les cyberincidents graves touchant leurs systèmes informatiques importants désignés au ministre responsable de leur secteur ainsi qu’au Premier ministre. Ces incidents comprennent l’exécution de logiciels malveillants et les accès non autorisés.

Cette obligation permet au gouvernement d’être informé des attaques graves qui touchent les services essentiels. Les détails techniques d’un incident pourront ensuite être communiqués à d’autres opérateurs, dans le respect de la confidentialité de l’organisation touchée, afin qu’ils renforcent leurs défenses contre des activités similaires.

Un conseil d’échange d’informations dont la création est prévue devrait réunir une centaine d’organisations, principalement des opérateurs d’infrastructures critiques. Il doit permettre de transmettre les informations gouvernementales sur les menaces aux entreprises chargées de protéger les systèmes opérationnels.

L’approche du gouvernement combine deux types d’informations : les produits utilisés par un opérateur et les menaces détectées. Un inventaire permet de déterminer qui doit recevoir une alerte, tandis que les informations sur les incidents peuvent préciser ce que l’opérateur doit rechercher dans ses propres systèmes.

Comment seront partagées les alertes sensibles

Les informations gouvernementales sur les menaces peuvent révéler une source de renseignement ou permettre d’identifier une entreprise précise. Avant de les transmettre aux opérateurs, les autorités prévoient de retirer les éléments confidentiels ou d’anonymiser les données permettant une identification, une procédure appelée assainissement des données.

Une alerte utile peut conserver les indices techniques d’une attaque tout en supprimant les détails sur la façon dont les autorités les ont obtenus. L’objectif est de transmettre rapidement des informations exploitables aux entreprises tout en protégeant les éléments sensibles.

Les informations plus sensibles seront partagées dans le cadre de dispositifs faisant intervenir des informations classifiées, des entreprises particulières ou des cercles restreints appelés groupes de confiance. Ces dispositifs prévoient différents canaux selon l’étendue de la diffusion possible des informations.

Pour les opérateurs, l’intérêt concret est de recevoir une alerte suffisamment précise pour agir. Les noms des produits, les indicateurs techniques et la connaissance des systèmes d’une entreprise peuvent transformer une alerte générale en vérification ou réparation ciblée.

Un déploiement jalonné de plusieurs étapes distinctes

Les changements juridiques, les préparatifs organisationnels et les opérations techniques du Japon suivent des calendriers différents. Certaines dispositions sont entrées en vigueur en octobre, tandis que le calendrier de mise en œuvre prévoit que l’utilisation opérationnelle des informations sur les communications commence à l’automne de l’année suivante, ou plus tard.

Les principales échéances mentionnées dans le plan de déploiement du gouvernement et les annonces ultérieures sont les suivantes :

• 30 septembre : le Bureau national de la cybersécurité et le Cabinet publient les documents de mise en œuvre.
• 1er octobre : la mise en place des dispositifs organisationnels et la coopération avec les opérateurs d’infrastructures désignés commencent, y compris l’obligation de signaler les incidents graves.
• 6 novembre : Takaichi charge les ministres d’examiner des amendements visant à renforcer la collecte d’informations dans le cadre de la cyberdéfense active.
• Mars de l’année suivante : les systèmes informatiques désignés déjà en service doivent être déclarés conformément au calendrier de mise en œuvre.
• Dans les quatre mois suivant leur introduction : les opérateurs doivent déclarer les nouveaux systèmes désignés.
• À l’automne de l’année suivante ou plus tard : le début de l’utilisation opérationnelle des informations sur les communications est prévu.

Le déploiement par étapes signifie que les entreprises doivent respecter des obligations de déclaration et de préparation avant que tous les volets de la collecte d’informations sur les communications ne soient opérationnels. L’inclusion proposée des communications nationales nécessiterait une nouvelle modification législative, en parallèle du déploiement en cours.

En bref

• Le Japon envisage d’inclure les communications entièrement nationales dans le cadre de collecte d’informations de sa cyberdéfense active.
• Le 6 novembre, lors d’une réunion ministérielle, Takaichi a demandé l’examen d’amendements législatifs, après une recommandation du parti au pouvoir.
• Un plan d’urgence prévoit 10 milliards de yens prélevés sur les fonds de réserve de l’exercice 2026 pour des mesures de cybersécurité, notamment le renforcement des capacités de renseignement de la police.
• Le plan prévoit des équipes spécialisées dans la réponse aux attaques, une aide aux entreprises victimes et le recours à l’intelligence artificielle.
• Le déploiement concernant les infrastructures couvre 258 opérateurs dans 15 secteurs, avec des obligations d’inventaire des systèmes et de signalement des incidents graves.
• Les opérations portant sur les informations relatives aux communications suivent un calendrier ultérieur à celui des premières mesures organisationnelles et obligations de déclaration.