Une collaboration d'UNIRIS et Unicom
Environ deux ans après la signature d’un accord avec la Fondation Dieter Schwarz, l’ETH Zurich inaugure un nouveau site à Heilbronn,un nouveau pôle de recherche et d’enseignement axé sur l’IA et la cybersécurité. L’objectif est de faire progresser la transformation numérique dans l’économie et la société. L’ETH Zurich s’engage à long terme à Heilbronn et renforce ainsi son réseau au sein de l’espace européen de la recherche.
«Face à un contexte géopolitique en mutation et à l’intensification des collaborations internationales en recherche, le président du groupe de travail mis en place par swissuniversities fin 2024 sur mandat de la CSHE a présenté aujourd’hui une stratégie globale pour renforcer la sécurité des connaissances dans les institutions suisses, tout en préservant leur excellence scientifique et leur ouverture.»
Le rapport s’adresse aux hautes écoles et aux instances gouvernementales.
La Communauté de recherche allemande (DFG) a lancé une initiative visant à sécuriser les bases de données menacées, stockées sur des serveurs cloud étrangers. Elle met en garde contre le risque que ces données ne soient plus disponibles pour la science, que ce soit aujourd’hui ou à l’avenir. Il est donc important de sécuriser les données pertinentes et de les rendre accessibles en permanence aux chercheurs locaux. L’objectif principal est de renforcer la résilience des infrastructures de données dans le domaine de la recherche.
La plus importante et la plus grande organisation scientifique autonome pour la promotion de la recherche en Allemagne soutient, dans le cadre de cette initiative, des mesures telles que l’acquisition de capacités de stockage et la mise à disposition de ressources humaines pour l’exploitation, la conservation ou l’agrégation technique des données. Les vérifications juridiques nécessaires ainsi que l’intégration des stocks sécurisés dans des structures et des clouds suprarégionaux ou européens sont également éligibles à un financement. L’accent est mis sur le développement de conditions-cadres et de technologies permettant d’intégrer les référentiels correspondants dans ces réseaux européens.
En substance, la DFG se positionne ainsi en faveur de la souveraineté numérique tant vantée. Il s’agit pour elle de pouvoir disposer de ses propres données, infrastructures et technologies et d’en décider de manière autonome. Le principal problème réside dans le cadre juridique américain, en particulier le Cloud Act. Cette loi autorise les autorités américaines à accéder, dans certaines circonstances, aux données stockées par des entreprises américaines. Cela vaut également lorsque ces bits et octets se trouvent physiquement sur des serveurs situés en dehors des États-Unis.
Cette loi représente un risque considérable pour la recherche allemande, car les informations et les résultats sensibles sont théoriquement exposés à l’accès par des autorités étrangères. Elles pourraient également ne plus être disponibles du jour au lendemain pour des raisons politiques ou réglementaires. La dimension politique entre ici en jeu, notamment sous la forme du président américain Donald Trump. Sa ligne imprévisible et protectionniste, qui pourrait remettre en cause les accords transatlantiques existants, y compris en matière d’échange de données, est considérée comme un signal d’alarme pour les aspirations actuelles à la souveraineté.
Le 28 octobre, la Commission européenne a présenté plusieurs initiatives pour renforcer la sécurité de la recherche dans l’UE. Ces mesures incluent la création d’une plateforme de diligence raisonnable destinée à aider les chercheurs à évaluer les risques liés à la coopération internationale, ainsi qu’un centre d’expertise sur la sécurité de la recherche, prévu pour mi-2026.
Selon Claire Gray (LERU), les chercheurs manquent d’outils fiables et accessibles pour évaluer les risques de collaboration internationale, les solutions existantes étant coûteuses et incomplètes. Des modèles étrangers existent, comme la plateforme américaine Secure Center soutenue par la NSF, mais leurs coûts restent incertains.
Lors d’une conférence européenne sur la sécurité de la recherche, la Commission a insisté sur la mise en œuvre d’un cadre européen adapté. Des participants, tels que Vincent Klein Ikkink (Cesaer), ont averti contre une copie du modèle américain et plaidé pour une approche européenne proportionnée, collaborative et adaptée à la diversité du système de recherche.
Les experts recommandent que le futur centre d’expertise intègre un guichet d’aide, une boîte à outils virtuelle et une plateforme d’échange sécurisée pour partager incidents, bonnes pratiques et leçons tirées.
La commissaire Ekaterina Zaharieva souhaite par ailleurs inscrire la sécurité de la recherche dans la loi, via le futur European Research Area (ERA) Act, afin de prévenir les transferts technologiques indésirables ou les atteintes à l’éthique. Cette proposition suscite des réserves, certains craignant une surréglementation.
Pour Science Europe, la loi doit seulement fixer des normes minimales communes, sans alourdir la charge administrative ni freiner la collaboration internationale.
Les discussions ont mis en avant la difficulté d’équilibrer ouverture et protection, chaque État membre ayant ses propres priorités. L’objectif n’est pas d’isoler l’Europe, mais de mieux gérer les risques dans un contexte géopolitique complexe.
Enfin, plusieurs intervenants, dont Julien Chicot (The Guild), ont insisté sur la nécessité d’un changement culturel : les outils techniques et juridiques ne suffisent pas. Il faut développer une culture de la sécurité de la recherche fondée sur la confiance, la responsabilité et la sensibilisation, sans opposer science ouverte et sécurité.
À la suite d’une série de tests, l’informaticien Urs Pfister affirme que le navigateur Safe Exam Browser, [utilisé par plusieurs universités suisses] pour des examens en ligne, a des nombreuses failles de sécurité qui n’ont pas été patchés après un hack en 2022, contrairement à une annonce des développeurs. Il démontre combien il est facile de manipuler ce navigateur et de contourner un concept de sécurité qu’il juge défaillant. Il déplore l’absence de base juridique claire et le manque de souveraineté numérique du système.
A son avis le logiciel ne devrait plus être utilisé. Il ne s’agit pas seulement de prévenir la triche, mais aussi de se demander ce qui se passe lorsque des appareils sont compromis pour une vengence personnelle par exemple contre un·e ex-partenaire. «Et qu’en est-il de la responsabilité? L’ETH Zurich et l’Université de Zurich, qui développent le Safe Exam Browser, sont directement impliquées: comment peuvent-ils vérifier de manière neutre où se trouvent (leurs) erreurs? À quelles interventions les étudiants doivent-ils se soumettre? Que voient les surveillants chez les candidats, volontairement ou non? Et que voient les entreprises technologiques américaines?»
Le Conseil scientifique allemand (Wissenschaftsrat) a déclaré dans un communiqué : «Le tournant international en matière de politique de sécurité pose également des défis fondamentaux au système scientifique et à notre société : les cyberattaques, l’influence et la fuite des connaissances menacent les universités et les instituts de recherche allemands.» Le Conseil «appelle à une sensibilisation accrue et à une gestion professionnelle des risques liés au savoir». Il liste ainsi les menaces actuelles envers la recherche:
Finalement, Conseil scientifique allemand plaide pour une plate-forme nationale pour la sécurité des connaissances, qui devrait être mise en place le plus rapidement possible. «En tant que point de contact central, elle doit soutenir les acteurs scientifiques de manière rapide et non bureaucratique dans l’évaluation des risques liés aux connaissances en leur fournissant des informations complètes.» L’article publié sur wissenschaftsrat.de comporte un schéma qui «résume de manière idéale l’évaluation des risques».
Le groupe de pirates informatiques Anonymous Sudan, (qui «n’a, selon les experts, aucun lien avec l’organisation mondiale de piratage informatique Anonymous ni avec le pays du Soudan»), a revendiqué la cyberattaque qui a été subie par les universités de Cambridge et de Manchester en justifiant cette action par le «soutien continu du Royaume-Uni à Israël.» La cyberattaque a provoqué des perturbations à la connexion internet et la situation s’étant rétablie en quelques heures, «[u]n porte-parole de Jisc, le consortium informatique de l’enseignement supérieur britannique, a déclaré que si les perturbations ont été largement contenues, l’ampleur de l’attaque pourrait également avoir eu un impact sur d’autres institutions.»
Marc Oehler, directeur de la société genevoise Infomaniak, estime que les autorités fédérales n’ont toujours pas avancé sur le dossier du cloud public. Il dénonce un manque d’implication politique. «Aujourd’hui, la Confédération pourrait décider de s’appuyer sur l’économie locale pour développer un partenariat public-privé qui intègre aussi les milieux académiques afin de créer un cercle vertueux. Cela permettrait à l’argent de rester en Suisse, tout en formant des spécialistes qui pourront trouver des débouchés ici.»
Par ailleurs, il trouve «effarant» que les EPF aient annoncé un partenariat avec des multinationales comme Microsoft, Google et Amazon pour favoriser la création d’IA sûres. «En tant que contribuable, je suis abasourdi de voir que l’argent des impôts sert à renforcer des entreprises américaines. Ces institutions académiques auraient mieux fait de développer un tel partenariat dans l’open source. Et si vraiment elles veulent faire des donations à des privés, elles auraient pu choisir de le faire pour des sociétés suisses, ou au moins européennes…»
««Dans une démarche collaborative, l’Ecole polytechnique fédérale de Lausanne (EPFL), la Haute Ecole d’ingénierie et de gestion du Canton de Vaud (HEIG-VD) et l’Université de Lausanne (UNIL) ont décidé d’unir leurs compétences – inédites, complémentaires et reconnues internationalement – afin de répondre aux multiples défis relatifs à la confiance numérique et à la cybersécurité», indiquent-elles mercredi dans un communiqué. […] «Il existe une complémentarité évidente, mais malheureusement sous-exploitée, entre les domaines de prédilection des trois hautes écoles – les deep tech à l’EPFL, la cybersécurité appliquée à la HEIG-VD et la criminalité informatique à l’UNIL. Le Programme «seal» est un outil qui offrira des opportunités concrètes de collaboration et ouvrira ainsi de nouveaux champs d’innovation», explique Sylvain Pasini, professeur à la HEIG-VD.»
«L’EPFZ, l’EPFL et la Confédération vont travailler avec Microsoft, Google ou Amazon pour tenter de réduire les risques liés à l’intelligence artificielle. Des chercheurs vont collaborer avec des ingénieurs. Pour la Suisse, c’est un coup de projecteur important.»
La sécurité de la recherche est un sujet de plus en plus sensible en Europe. Slaven Misljencevic, chargé de mission à la direction de la recherche de la Commission européenne, déclare: «Depuis la fin de l’année 2019 […] nous avons observé un nombre croissant de cas d’ingérence étrangère ciblant les établissements d’enseignement supérieur et les organismes de recherche de l’UE. […] C’était relativement nouveau parce qu’à l’époque, il était question de science ouverte et d’ouverture sur le monde. Soudain, nous avons été confrontés à un problème qui a peut-être été facilité par cette ouverture.» En 2021, la Commission européenne a proposé une nouvelle approche de la coopération internationale en matière de recherche et d’innovation. En janvier 2022, elle a publié des lignes directrices sur l’ingérence étrangère dans la recherche de l’UE, qui définissent des mesures sur la manière dont les établissements d’enseignement supérieur et les organismes de recherche peuvent identifier et traiter les risques d’ingérence étrangère.
La Commission travaille sur des recommandations qui visent, pour la première fois en Europe, une définition commune du problème de la coopération internationale en matière de recherche, selon le principe directeur «ouvert là où c’est possible, fermé là où c’est nécessaire».
La coopération ouverte doit rester l’option par défaut de l’Europe en matière de collaboration internationale dans le domaine de la recherche, malgré la situation géopolitique difficile actuelle, juge l’Association européenne de l’université (EUA). «L’Europe reste «assez ouverte», mais on a le sentiment que «les choses pourraient devenir beaucoup plus fermées»», déclare Thomas Jørgensen, directeur de la coordination des politiques et de la prospective à l’EUA
Après la Fondation Verdeil dans le canton de Vaud attaquée il y a deux semaines et l’Université de Zurich visée en février, c’est au tour de la Haute école de Lucerne (HSLU) d’avoir des sueurs froides. Des machines virtuelles de leur département Informatique ont été victimes d’un ransomeware. L’école en elle-même et les données des étudiant∙es ne seraient pas en danger, mais «[l]es spécialistes travailleraient d’arrache-pied pour vérifier l’ampleur de l’attaque.»
La HSLU a porté plainte, mais jusqu’à présent, aucun groupe n’a revendiqué l’attaque.
Le site web « hassbilder-verletzen.ch« , auquel participent l’Université de Fribourg et des HES Grisons, a été piraté. Grâce à des mesures de sécurité préventives, les données personnelles et sensibles n’ont pas été mises en danger. Des inconnus avaient déjà perturbés la conférence de presse hybride de présentation du projet le 3 février moyennant un «troll».
Selon une étude de Check Point, fournisseur de solutions en cybersécurité, l’année passée le secteur de l’éducation et de la recherche a été le secteur le plus attaqué au monde. Le responsable de Check Point pour la Suisse Alvaro Amato estime que l’enseignement en ligne a joué un rôle dans ce développement, que l’aspect sécurité a peut-être été partiellement négligé : «Lorsque les étudiants communiquent entre eux via Slack, Skype et d’autres outils, les pirates ont beaucoup plus de possibilités pour attaquer l’entreprise».
L’Université de Zurich avait été victime d’une cyberattaque «sérieuse» la semaine passée. Les recherches du Beobachter montrent que les données de connexion de plus d’une douzaine de serveurs de l’université de Zurich sont proposées à la vente sur un forum pour hackeurs, et depuis plus de deux semaines déjà. Pour seulement 10 dollars, n’importe qui sans grandes connaissances techniques peut acheter le paquet contenant toute une série de noms d’utilisateurs-rices et de mots de passe.
Le CICR a été victime d’un piratage, dévoilé en janvier 2022. «Les Ecoles polytechniques fédérales aident le Comité international de la Croix-Rouge à éviter d’autres cyberattaques. […] Une démarche sur cette question fait partie des premiers projets financés dans le cadre d’une alliance entre les trois institutions, lancée fin 2020. Parmi les premiers résultats dévoilés hier à Genève, trois chercheurs de l’EPFL ont œuvré à une architecture cloud sécurisée.»
«Victime d’une attaque informatique début juillet, la Haute Ecole Arc (HE-Arc) à Neuchâtel a indiqué jeudi tout mettre en oeuvre pour assurer la rentrée académique de mi-septembre. Tous les ordinateurs sont en cours de reformatage et de réinstallation.»
Après la cyberattaque qui a frappé la Haute Ecole Arc (HE-Arc), l’institution tente de connaître l’étendue du piratage à l’aide de spécialistes internes et externes. «Plusieurs personnes ont reçu un e-mail semblant émaner de pirates qui exigent une rançon […] Nous savons que les pirates ont pu avoir accès à certains fichiers. Pour l’instant, seuls des documents attachés à des e-mails semblent concernés», indique la directrice Brigitte Bachelard. A ce stade, La HE-Arc ne peut pourtant pas encore exclure la possibilité que des fichiers plus sensibles aient été soutirés des serveurs.
La Haute Ecole Arc (HE-Arc) a annoncé avoir subi une cyberattaque au cours du weekend. Alerté par le service informatique samedi (02.07), l’établissement a pris contact avec le Centre national pour la cybersécurité (NCSC) et coupé les accès VPN pour empêcher les connexions à distance.
Lundi matin, l’établissement a reçu des demandes de rançons accompagnées de documents issus de la HE-Arc. Il n’est cependant par certain que les pirates informatiques soient parvenus à s’infiltrer au delà de la messagerie de la HE-Arc. «Les pièces jointes qui nous ont été transmises sont des réponses à des demandes de renseignements qui nous avaient été adressées. Les indices recueillis ce weekend semblaient montrer que les pirates n’étaient pas parvenus à franchir nos sécurités. Nous ne savons pas à ce stade si des dossiers présents sur nos serveurs ont été chiffrés.», indique la directrice générale Brigitte Bachelard.
En début mars, le Conseil fédéral a adopté le message concernant la loi fédérale sur l’utilisation des moyens électroniques pour l’exécution des tâches des autorités (LMETA). L’Assemblée fédérale devrait examiner le projet pour la première fois durant le second semestre de 2022. Cette loi réglemente, entre autres, les données gouvernementales ouvertes (OGD), qui deviennent de plus en plus importantes pour la recherche. Le Directeur du centre de recherche national Fors et professeur de l’UNIL Georg Lutz écrit que ce projet de loi loupe la chance de créer une politique de données qui soit orientée vers le futur et favorable pour la recherche.
L’accès restreint aux données administratives «montre que la Suisse a manqué de tirer des leçons de la pandémie. Des données de mauvaise qualité et un accès lent aux données ont constitué un obstacle majeur à l’étayage des mesures par des analyses et des connaissances. Pendant la pandémie, la Suisse a souvent été [gérée] à l’aveugle. La pandémie a montré sans ménagement à quel point la Suisse est loin de pouvoir utiliser les données en temps réel et de manière exhaustive pour générer des connaissances, y compris pour la recherche indépendante. Les besoins ne se limitent toutefois pas au domaine de la santé, mais concernent également la compréhension des changements démographiques, des inégalités sociales, de la migration et de la mobilité et de leurs répercussions sur l’économie et la société.»
Georg Lutz propose, entre autres, la création d’une agence centralisée et indépendante pour les données, qui organiserait l’accès l’information et garantirait la sécurité des données.