Cybersécurité : entretien avec Arnaud Coustillière, directeur du Pôle d’Excellence Cyber

Arnaud Coustillière

Le vice-amiral d’escadre (2S) Arnaud Coustillière est président du Pôle d’Excellence Cyber depuis 2021. Formé aux télécommunications, DSI de la Marine, en charge de la création des capacités de combat Cyber, il prend le commandement des capacités de cyberdéfense de 2011 à 2017, afin de les faire monter en puissance. Puis, il est chargé de la transformation numérique du ministère des Armées avant de quitter le service actif en 2020, sans pour autant interrompre sa contribution à la cyberdéfense.

Quelle est l’origine du Pôle d’Excellence Cyber ?

Le Pôle d’Excellence Cyber (PEC) est une initiative conjointe du ministère des Armées et de la Région Bretagne, lancée entre 2012 et 2014. Il porte des enjeux d’innovation, de création d’un écosystème industriel innovant et de ressources humaines. Il nous fallait donc une coopération entre la sphère privée et le monde militaire, car le numérique est arrivé par le privé. Je dis souvent qu’il n’y a pas de cyberdéfense militaire, il y a une cyberdéfense en environnement militaire. Les technologies sont toutes dual, donc ce n’est pas la même chose que de fabriquer un missile ou un char.

Comment le projet s’est concrétisé et sous quelle forme ?

Cette idée de départ a été reprise très fortement par Jean-Yves Le Drian, qui était à l’époque ministre de la Défense. Le projet a donc pris forme en 2014, à la conjonction de deux politiques publiques, dans un contexte où l’une des trois priorités de développement pour la Bretagne était la cyber. Et quand, parallèlement, nous proposions un plan d’action de 50 mesures pour changer d’échelle. Cela a donné lieu à des créations de chaires et, également, à celle de ce Pôle d’Excellence Cyber. Et ce, sous la forme la plus souple possible, avec une association loi 1901 classique. Avec l’idée de mettre l’excellence du ministère de la Défense au service de la nation, notamment pour développer l’écosystème.

Cela a bien fonctionné puisqu’en 2020, Rennes, outre Paris, est devenue la capitale de la cyber, et la région porte 8000 emplois dans le domaine. C’est une belle conjonction de deux dynamiques, qui ont su s’auto-alimenter.

Quelles sont les priorités du PEC ?

Au départ, cela a été l’animation de tout ce qui était recherche et développement, avec une coordination des investissements de la région et du ministère. Une mise en commun, également, des réflexions sur la formation. La création de l’ENSIBS de Vannes, en 2016, est un peu un fruit de cette démarche public-privé. La troisième chose a été l’aide au développement de nos sociétés.

L’ADN du PEC, c’est le développement d’une cyberdéfense autonome à vocation régalienne.

Pour nous, il est important que ces sociétés existent et s’inscrivent dans le temps. Si celles-ci disparaissent au bout de cinq ans, on n’a pas créé de valeur sur la durée. Il est très important que les sociétés soient accompagnées, puissent faire du business development, que les petites connaissent les plus grosses. Nous avons également un axe de travail à l’international, avec un angle Europe et un angle Monde. Enfin, le dernier grand axe est sociétal, avec l’attractivité du secteur, notamment pour les femmes, mais également les personnes neuroatypiques.

Quelle est l’originalité du PEC ?

L’une d’entre elles est cette double dimension nationale – portée par le premier fondateur qui est le ministère des Armées – et plus régionale – portée par la Région Bretagne. C’est pertinent quand on se tourne vers l’Europe, mais également vis-à-vis d’autres régions. Par exemple avec le Canada, on parle à haut niveau, de nation à nation, et la région Bretagne voire la ville de Rennes ont des relations bi-latérales assez fortes là-bas.

C’est une dynamique, dont l’un des fruits annuels est l’European Cyber Week, qui est à la fois un rendez-vous de la communauté, mais aussi pour nous l’aboutissement de nombreux groupes de travail. On le voit notamment au travers des tables rondes internationales. C’est aussi l’une des originalités : l’ECW est un événement monté par les membres du PEC, donc nous en portons le fond, ce qui est assez lourd pour une association.

Le PEC est-il une structure unique ?

Elle l’est, de par cette dualité nationale-Bretagne. Unique aussi car il n’y a pas d’autres équivalents en France. Nous sommes membre du campus de la Région Bretagne, avec une position particulière, car nos groupes de travail peuvent être mis à contribution avec leur dimension nationale pour bénéficier au campus. Les plus grands groupes font également partie de nos membres : EDF, Capgemini, La Poste, Airbus, avec leur dimension internationale.

Nous avons aussi toujours souhaité être pragmatiques, en apportant une contribution à la communauté. On a de nombreuses publications comme des guides pratiques, des tutoriels, au profit des régions et des communautés territoriales. On va aller chercher des points où on peut avoir une valeur ajoutée : à l’image d’un document sur la lutte contre la manipulation de l’information que nous venons de sortir. On veut faire la même chose vis-à-vis des enjeux sociétaux, à l’image des Cadettes de la cyber qui est notre premier projet emblématique, dans le but de donner envie aux jeunes femmes d’intégrer cette filière.

Ce genre d’initiative témoigne-t-il des enjeux d’attractivité et de diversité dans le secteur de la cyber ?

D’après les chiffres, il y aurait environ 11 % de femmes dans la cyber. Mais la désaffection commence plus tôt. C’est donc un vrai combat. D’une part, pour que les jeunes entrent dans ces filières-là, de l’autre, pour que des femmes en milieu de carrière puissent se reconvertir et changer de métier pour rejoindre la cyber. Elles sont néanmoins de plus en plus nombreuses à nous rejoindre et à occuper des postes importants au sein de sociétés, et ce, après reconversion.

J’ai toujours essayé de brasser les cultures, cela apporte beaucoup plus de choses.

Il y a de belles expériences qui peuvent donner envie, avec une grande variété de postes. On peut venir à la cyber par la géopolitique également, car on découvre que les enjeux sont passionnants. Avec la manipulation de l’information et de nouveaux défis similaires, on va revenir sur un équilibre, féminiser et diversifier le secteur. Au sein du PEC, nous avons lancé un programme en 2021 pour les personnes atteintes du syndrome d’Asperger, car nous ne voulions pas nous priver de leurs talents ni leur bloquer l’accès à certains postes.

Pour l’attractivité au sens plus large, il faut comprendre que la cyber n’est pas une matière technique. C’est un milieu, un espace de confrontation, de combat. L’attaquant va essayer de trouver votre point faible, vous allez tenter de le repousser, lui va vouloir rester. Même si c’est un domaine numérique dont il faut comprendre les codes, c’est une mentalité à part. Il faut arriver à combiner innovation tactique ou d’usage, et innovation technologique. Il y a d’importants défis, notamment avec l’arrivée de l’IA.