Jeux olympiques et paralympiques de Paris 2024 : l'ANSSI dans les starting-blocks

Compte tenu de l’ampleur de la menace, l’ANSSI s’est vu confier en juillet 2022 le pilotage de la stratégie de prévention des cyberattaques des Jeux.

À cette fin, le dispositif mis en place par l’ANSSI, en étroite collaboration avec les différentes structures impliquées dans l’organisation des Jeux – dont en particulier la Délégation Interministérielle aux Jeux Olympiques et Paralympiques (DIJOP), le ministère de l’Intérieur et des Outre-Mer (MIOM) et le Comité d’Organisation des Jeux Olympiques et Paralympiques (Paris 2024) – s’articule selon cinq axes principaux :

• parfaire la connaissance des menaces cyber pesant sur les Jeux ;
• sécuriser les systèmes d’information critiques ;
• protéger les données sensibles ;
• sensibiliser l’écosystème des Jeux ;
• se préparer à intervenir en cas d’attaque cyber affectant les Jeux.

Actions préventives de sécurisation

Avec le soutien de la Coordination Nationale pour la Sécurité des Jeux (CNSJ) du Ministère de l’Intérieur et des Outre-mer et de Paris 2024, l’ANSSI a identifié un écosystème de près de 500 entités, réparties en 3 catégories (via une analyse de risques intégrant notamment le niveau de criticité des entités) afin de réaliser des actions préventives de sécurisation. Ces actions visent à accompagner les entités impliquées de manière adaptée à leur besoin.

• Les entités de catégorie 1 sont des entités critiques dont la défaillance porterait atteinte à l’ensemble des Jeux. Elles sont quelques dizaines pour lesquelles l’ANSSI mène, en propre, des actions d’audit et d’accompagnement technique.
• Les entités de catégorie 2 sont des entités dites sensibles, car leur défaillance pourrait avoir un impact sur une ou plusieurs épreuves. Un programme spécifique d’accompagnement à la sécurisation des systèmes d’information a été conçu pour cette catégorie contenant près d’une centaine d’entités. Ce programme, piloté par l’ANSSI et doté d’un budget de 10,1 M€, bénéficie aux sites de compétition, à certaines collectivités territoriales, des opérateurs publics ou privés dans le domaine de l’énergie, des transports, de la logistique et de la gestion de l’eau et des prestataires de Paris 2024. Ce programme comprend 3 grands volets :
  • un volet diagnostic qui consiste à réaliser des audits afin d’identifier des vulnérabilités et construire des plans de sécurisation,
  • un volet sécurisation pour lequel sont proposées des missions d’accompagnement technique,
  • et un volet détection et réponse afin de déployer un dispositif infogéré alliant EDR (endpoint detection and response) et sondes industrielles permettant de détecter des menaces et de proposer des actions de remédiation.
• Les entités de catégorie 3 sont des entités dont la défaillance pourrait avoir des effets sur l’image de la France sans pour autant déstabiliser la bonne tenue de l’événement. Cette catégorie contient près de 300 entités dont des collectivités hôtes, des opérateurs de transport, certains médias, etc. Ces entités font l’objet d’action de sensibilisation et sont encouragées à déployer les outils d’audit automatique de l’ANSSI.

Actions de sensibilisation

Un plan de sensibilisation au bénéfice de plusieurs centaines d’acteurs de l’écosystème des Jeux est actuellement mis en œuvre. Il permet notamment d’informer sur la menace cyber à l’encontre des grands événements sportifs et de diffuser de nombreuses recommandations et bonnes pratiques de cybersécurité. Par ailleurs, un séminaire de sensibilisation a été organisé par l’ANSSI le 5 juillet 2023 réunissant les acteurs de l’écosystème. L’ANSSI a également publié en août 2023 le rapport « Grands évènements sportifs – Évaluation de la menace 2023 ». L’objectif de ce document est de présenter les principales menaces pesant sur les systèmes d’information mis en œuvre lors des événements sportifs organisés en France (Coupe du monde de rugby 2023 et les Jeux Olympiques et Paralympiques 2024) et de fournir des exemples concrets d’attaques conduites contre le secteur en France ou à l’étranger. Dans une dernière partie, l’ANSSI propose une liste de recommandations orientée sur les enjeux de sensibilisation et de protection des postes de travail et des systèmes d’information.

Dispositif opérationnel de l’agence et entraînement

L’agence a défini, en coopération avec les différents services de l’État impliqués dans la préparation des JOP2024, un dispositif renforcé de veille, d’alerte et de traitement des incidents de sécurité informatique. Il comprend notamment une posture spécifique destinée à supporter une activité opérationnelle accrue. Plusieurs exercices de crise ont également été organisés en 2023 pour se préparer collectivement à réagir en cas de cyberattaques lors des Jeux. En complément, des « kits d’exercice » sont proposés par l’ANSSI aux acteurs de l’écosystème des Jeux souhaitant s’entraîner à partir d’un scénario adapté à son niveau de maturité.