Qu’est-ce qu’une ligne d’assistance à la sécurité numérique pour la société civile ?

collage de cordons téléphoniques

Les informations, le soutien et l’encouragement que des inconnu·es fournissent à distance peuvent parfois changer des vies et même les sauver. Le soutien ou l’accompagnement à distance entre personnes qui ne se connaissent pas est, en substance, un domaine de l'action humaine qui se caractérise par sa diversité et son hétérogénéité. Les raisons et les motivations derrière la création de lignes d’assistance et les façons dont ces initiatives s’auto-définissent et communiquent sur elles-mêmes peuvent être très différentes. Les procédures, les normes et les politiques qu'elles établissent ainsi que leurs modèles de durabilité sont par conséquent également très divers.

Ces initiatives peuvent se superposer aux actions collectives visant à construire des réseaux de soutien et de solidarité. Ces réseaux peuvent être locaux, régionaux, nationaux voire internationaux, comme c’est le cas avec la convergence transnationale entre mouvements sociaux, par exemple. Ils apparaissent habituellement de manière organique et informelle, de la main d’individus et de collectifs qui s’auto-organisent pour apporter des solutions, des services, des soins et de l'attention aux problèmes qu’ils et elles rencontrent. La participation au sein de ces réseaux se fait de façon volontaire, elle n'est pas motivée par le profit économique mais par le capital social et/ou le bien-être qui émane de la participation citoyenne ou des activités bénévoles.

Ces initiatives peuvent être interprétées comme une réponse auto-organisée de la part de la société civile pour contrer et affronter la longue série d’injustices et de violences générée par les systèmes capitaliste, patriarcal et colonialiste au sein desquels nous vivons. Parmi les réseaux informels de soutien et de solidarité et les centres d’assistance formalisés, on retrouve d'autres modèles pour fournir un soutien aux autres à distance. Cette section présente ces différents modèles, leurs définitions, leurs principaux avantages et leurs grandes caractéristiques.

Avantages et valeur des services fournissant de l'assistance à distance

Concernant les lignes d’assistance en général, il existe plusieurs classifications et valeurs associées aux publics qu’elles visent et la façon dont le soutien est apporté. Par exemple, certaines lignes d’assistance sont définies comme des « Volunteer Emotional Support Helplines » ou VESH (voir VESH, c'est-à-dire des lignes bénévoles de soutien émotionnel. Elles constituent un réseau international qui combine plusieurs services d’accompagnement téléphonique gérés par trois projets internationaux : Befrienders/Samaritans, IFOTES et Lifeline. Ensemble, elles représentent 1200 centres membres, présents dans 61 pays. Elles travaillent main dans la main pour promouvoir les bonnes pratiques et les compétences de communication qui contribuent à la santé émotionnelle, à favoriser le partage d’informations entre associations participantes et représentent les expériences de leurs membres à l’échelle internationale.

De façon complémentaire, l’International Federation of Telephone Emergency Services (IFOTES) ou Fédération internationale de services téléphoniques d’urgence met au point des standards internationaux pour ces services d’écoute, qui doivent consister à mettre en œuvre et respecter les éléments suivants :

Les services téléphoniques d’urgence sont disponibles à tout moment, pour quiconque souhaite les contacter, indépendamment de son âge, son genre, sa religion ou sa nationalité.
Toutes les personnes qui appellent ont le droit d’être écoutées et traitées avec respect, indépendamment de leurs croyances, de leurs convictions et de leurs choix personnels.
L’écoute est offerte dans une attitude bienveillante et ouverte, et la règle d’or de la personne qui écoute est de ne jamais imposer aucune obligation à la personne qui appelle.
Le contenu d’un appel est hautement confidentiel, en particulier toute information liée à la vie privée.
Lors d’une conversation téléphonique, la personne qui écoute doit rester strictement anonyme et la personne qui appelle a le droit de rester anonyme si elle le souhaite.
Les services fonctionnent sur la base du volontariat. Les personnes chargées de recevoir les appels ont été sélectionnées, formées et supervisées afin d’améliorer constamment leurs compétences d’écoute.
Les Services téléphoniques d’urgence sont complètement gratuits pour la personne qui appelle.

D’autres part, le manuel de l’USAID pour la création d’une ligne directe (Stratten & Ainslie, 2003) souligne les avantages suivants lorsqu’il est envisagé de créer une ligne directe :

Les lignes directes sont un moyen efficace de fournir aux personnes qui appellent des informations précises, des conseils et une dérivation vers les services ou ressources de la communauté adéquats. L'anonymat d’une ligne directe est un avantage essentiel, en particulier lorsqu’on travaille avec des adolescent·es, car cela permet à la personne qui appelle de poser des questions qui pourraient être compliquées ou gênantes à poser devant la personne.
Les lignes directes peuvent être un baromètre utile de mesure de l'impact des campagnes d’éducation publique et dans les médias, et peuvent fournir des renseignements pour éclairer les nouvelles interventions.
Les lignes directes renforcent les messages de prévention diffusés via d’autres canaux, en particulier les médias de masse. À la différence de la communication de masse, les lignes directes renforcent les messages d’une façon interpersonnelle, avec un contact entre deux personnes, via une ligne téléphonique. C'est cette communication interpersonnelle qui sert de base pour permettre aux personnes d’adopter de nouveaux comportements.

Traditionnellement, la grande majorité des lignes d’assistance peuvent être contactées par téléphone, mais de nos jours, elles sont souvent disponibles également via d’autres canaux comme les formulaires de contact, les emails, les chats par messagerie instantanée, les SMS et même les bots conversationnels. Chaque format a ses propres avantages et inconvénients quant au type et à la qualité des interactions, mais aussi quant à la prise en charge et au soutien qui peuvent être apportés.

Comme nous l'avons vu en introduction, les lignes d’assistance, les lignes directes et les centres d’assistance peuvent être des services efficaces lorsqu’il faut fournir rapidement des informations précises aux populations vulnérables ou à risque, offrir une possibilité de dialogue et une meilleure compréhension de ce que ressentent ces populations, de ce qu'elles vivent et de ce dont elles ont besoin.

Lignes directes, lignes d’assistance et centres d'assistance

Une ligne directe est une ligne téléphonique qui dirige votre appel automatiquement vers un numéro de destination pré-sélectionné. Toutefois, l’utilisation familière du terme « ligne directe » (ou hotline en anglais) fait habituellement référence à un centre d'appels qui peut être joint en composant un numéro de téléphone spécifique. Il existe des numéros gratuits pour signaler des crimes, appeler la police, les pompiers ou autres services d’urgence. Ces lignes directes sont généralement gérées, soutenues et/ou financées par des institutions publiques.

Certaines organisations de la société civile fournissent des lignes directes et d'assistance pour prévenir le suicide, soutenir les personnes souffrant de violences et de différentes formes de discriminations, signaler des crimes ou fournir un soutien immédiat après une catastrophe naturelle ou humaine (guerre, terrorisme). Les lignes d’assistance peuvent offrir un accès à des informations d’ordre général, à des conseils spécialisés, à un accompagnement personnalisé ou à une écoute émotionnelle et un service de soutien plus génériques. Ces services peuvent être gratuits ou non, temporaires ou permanents, pilotés par des organisations locales sans but lucratif ou par des ONG et des entités travaillant sur les questions de coopération internationale. Certaines lignes directes ou lignes d’assistance peuvent être proposées 24h/24, 7jours/j, d’autres peuvent avoir des restrictions horaires.

Il convient de noter que les termes « lignes directes » (hotline) et « lignes d’assistance » (helpline) sont souvent utilisés de façon interchangeable. Toutefois, il est important de souligner que dans certains cas, ces lignes se distinguent clairement par des objectifs bien différents.

Parfois, le concept de « ligne directe » est davantage orienté vers des lignes destinées à soulager les situations de crise provoquées par les catastrophes naturelles ou humaines et tend dans ce cas-là à chevaucher le concept de « lignes d’urgence »/« lignes de crise ». En ce sens, on constate également que le concept de ligne directe tend à être davantage utilisé dans le contexte des ONG et de la coopération au développement. Dans d'autres cas, nous avons identifié des initiatives qui emploient les deux concepts pour différencier les services qu'elles proposent à leurs publics. SaferNet par exemple, un projet créé en 2005 au Brésil, effectue une division claire entre la ligne directe qui sert à signaler des crimes sur internet et la ligne d’assistance qui apporte un soutien aux personnes faisant face à des violences sur internet.

Outre ces exemples, on retrouve le concept de « centre d'assistance », qui se définit comme une ressource visant à fournir au client ou à l’utilisateur final des informations et une aide en lien avec les produits et les services d’une entreprise ou d'une institution. L’objectif du centre d'assistance est habituellement de dépanner les problèmes ou donner des conseils sur des produits tels que les ordinateurs, les équipements électroniques ou les logiciels. Les centres d’assistance se consacrent à donner des réponses et des solutions aux personnes qui appellent concernant des problèmes ou des urgences qu’elles rencontrent dans leur utilisation ou interaction avec des technologies de l’information et de la communication, ce qui englobe les dispositifs électroniques, les logiciels, le matériel informatique, l’infrastructure IT, l'administration de réseaux, les plateformes de réseaux sociaux, etc.

Le concept de « centre d’assistance à la sécurité numérique pour la société civile », qui se compose généralement de projets fournissant du soutien aux activistes, aux défenseur·es des droits humains (HRD) et/ou aux organisations de la société civile (CSO) confronté·es à des risques, attaques et urgences numériques, présente un intérêt crucial pour ce guide. Il est compliqué d’en retrouver l’origine précise, mais plusieurs initiatives peuvent être citées, qui nous semblent faire partie de leur trajectoire.

Les hacklabs, par exemple, sont des « espaces ou des bâtiments où des personnes ayant un intérêt pour la technologie peuvent se réunir pour socialiser, créer et partager des connaissances, et travailler sur des projets de forme individuelle ou en équipe » (Maxigas, 2014). Les hacklabs sont pilotés par les hackeur·ses pour les hackeur·ses et les personnes ayant un intérêt à hacker les TIC (Technologies de l'Information et de la Communication), à mettre au point des technologies libres et discuter des implications politiques des technologies peuvent s’y retrouver et s’y reconnaître. Ces espaces permettent aux communautés de hackeur·ses de s’épanouir et de mettre leurs compétences et connaissances techniques au service d’autres mouvements et collectifs sociaux, en particulier dans la mise en place d’infrastructures technologiques autonomes, leur enseignant comment les utiliser de façon plus sécurisée et facilitant l’utilisation des TIC pour informer, communiquer et documenter leurs luttes.

Parmi les exemples de mouvements de hackeur·ses ayant fourni un soutien à distance à d’autres mouvements, on retrouve notamment le collectif hacktiviste Telecomix, qui a fourni un soutien aux activistes en Égypte pour contourner la censure d’internet à l’aide de téléphones fixes ; mais aussi les collectives cyberféministes qui ont fourni leur soutien à d’autres collectives féministes pour atténuer et surmonter la violence de genre et effectuer une migration vers une infrastructure technologique plus sécurisée.

La multiplication des attaques numériques ciblant les activistes, les défenseur·es et les organisations de la société civile pour entraver ou empêcher leur travail s’est intensifiée cette dernière décennie et a mené à l’émergence de davantage d’initiatives focalisées sur la mise en place de centres d’assistance à la sécurité numérique. Par exemple, l’Access Now Digital Security Helpline ou Plateforme d’assistance pour la sécurité numérique a été créée en 2014 et est l’une des premières de ce genre à orienter ces services explicitement vers la société civile.

Comme nous le voyons, les origines des centres d’assistance à la sécurité numérique orientée vers la société civile peuvent être liées à des initiatives informelles, telles que les hacklabs ou les mouvements hacktivistes, qui se fondent sur des réseaux décentralisés, avec une certaine flexibilité dans l'affiliation. Néanmoins, ces centres se basent généralement sur des règles et politiques formelles qui définissent la façon dont ils fournissent du soutien aux autres, documentent leur travail et partagent des informations sensibles avec les autres. Pour comprendre le degré de formalisation, il nous faut introduire le concept d’Équipe de réponse d’urgence informatique (ou Computer Emergency Response Team, CERT en anglais).

CERT, CSIRT et SOC

Une Équipe de réponse d’urgence informatique (CERT) fonctionne selon des protocoles très spécifiques, dans le but de déterminer la façon dont les incidents informatiques sont gérés et documentés, comment l'atténuation, les avertissements et les actions de suivi sont coordonnées avec les autres entités ou organisations, et quelles lignes directrices doivent être suivies afin de partager les informations (dont la nature est presque toujours sensible et confidentielle) avec d'autres individus et organisations.

La première CERT ou CERT-CC (Computer Emergency Response Team) a été créée en 1988 par le Software Engineering Institute, afin de répondre et atténuer les problèmes créés par le ver de Morris. Même si le terme CERT© a été breveté par le Software Engineering Institute, son utilisation par d’autres projets et initiatives est permise. Toutefois, d’autres termes tels que CSIRT (Computer Security Incident Response Team ou équipe de réponse aux incidents de sécurité informatique), CIRT (Computer Incident Response Team, équipe de réponse aux incidents informatiques), ou SIRT (Security Incident Response Team, équipe de réponse aux incidents de sécurité), sont également employés.

Les CERT peuvent être créées à l’échelle d’une entreprise, d’un pays, d’un secteur d’infrastructures clés ou d’un groupe d’organisations. Les CERT nationales sont souvent également appelées Centres nationaux de sécurité numérique, auxquels la loi confère habituellement le rôle des CIRT, ainsi que celui de fournir d'autres services tels que la gestion de systèmes de classification des informations au sein d’un pays. Les CERT fournissent habituellement un ensemble de services allant de la gestion de l’information et des incidents de sécurité numérique en passant par la supervision de la sécurité numérique, mais aussi la gestion et la surveillance de la vulnérabilité et la gestion générale du partage des connaissances en matière de sécurité numérique.

Enfin, un dernier concept à détailler est le Centre d’opérations de sécurité (COS) (ENISA, 2020), qui fournit un service de détection des incidents en surveillant les réseaux et systèmes, et qui peut également être responsable de la réponse et de la gestion des incidents. Dans les grandes entreprises, les COS se focalisent parfois uniquement sur les services de surveillance et de détection et délèguent à une CSIRT à part la responsabilité de la gestion des incidents. Dans les organisations de plus petite taille, les CSIRT et SOC ont souvent double emploi.

Selon le manuel de référence mis au point par la CERT nationale néerlandaise (FIRST, 2006), la création d’une CERT suppose plusieurs avantages, notamment :

Elle établit un point de coordination central pour la sécurité des TIC au sein de votre organisation.
Elle répond automatiquement aux incidents de TIC et prend les mesures appropriées.
Elle aide le public qu’elle sert à se remettre vite et efficacement des incidents de sécurité et elle minimise les pertes ou les vols d’information et l'interruption des services.
Elle utilise les informations émanant de la gestion de l'incident pour mieux se préparer à la gestion d'incidents futurs et afin de fournir une meilleure protection des systèmes et des données.
Elle s’occupe adéquatement des questions juridiques pouvant apparaître lors des incidents.
Elle s’efforce d’échanger des connaissances au sein de la communauté qu’elle sert.

Les réseaux internationaux tels que FIRST et Trusted Introducer rassemblent plusieurs équipes de réponse aux incidents de sécurité informatique présentes au sein de gouvernements, organisations commerciales ou éducatives. Le but de ces réseaux est d'encourager la coopération et la coordination dans la prévention des incidents, faciliter une réaction rapide et promouvoir le partage des informations entre membres et avec la communauté dans son ensemble. Ils créent également des normes et des protocoles pour veiller à une certification adéquate des CERT.

Même si les CERT ont eu tendance historiquement à se focaliser sur les objectifs des grandes entreprises, des universités et même de pays entiers, leur modus operandi peut également répondre aux besoins des membres de la société civile tels que les défenseur·es des droits humains, les activistes, les organisations à but non lucratif et les citoyennes et citoyens en général, qui sont la cible croissante des attaques et des urgences qui se produisent dans les espaces numériques.

CiviCERT

Le Civil Society Computer Incident Response Center (Centre de réponse aux incidents informatiques pour la société civile) ou CiviCERT a été créé en 2015. En 2016, Le CiviCERT est devenu membre officiel du réseau Trusted Introducer, une étape nécessaire pour être reconnu comme CERT. Les membres individuels du CiviCERT sont également membres du FIRST. Ces accréditations offrent une plateforme unique pour présenter les problèmes majeurs de sécurité numérique touchant la société civile à un large éventail de CERT au service des gouvernements et de sociétés.

La politique d’adhésion et le code conduite mais aussi les politiques de gestion des données et de l'information et celle de vérification du CiviCERT ont été conçues pour mieux s’adapter aux réalités des individus et des organisations qui s’uniraient à ce projet. Depuis 2022, le CiviCERT compte plus de 40 organisations ainsi que quelques individus. Environ la moitié de ses membres sont des organisations internationales telles que : Access Now, Amnesty International Security Lab, Digital Defenders Partnership, Freedom of the Press Foundation, Front Line Defenders, Human Rights Watch, Internews et the Organised Crime and Corruption Reporting Project, qui effectuent un travail considérable à l’échelle mondiale en matière de surveillance, recherche, plaidoyer contre les violations des droits humains et en faveur des droits numériques, et dans certains cas, fournissent également des financements, une réponse rapide et de l'accompagnement et de la formation en sécurité numérique.

Les membres de l’autre moitié sont des projets de moins grande envergure, qui œuvrent dans un pays ou à l’échelle régionale et fournissent une réponse rapide, soit sous forme de centre d’assistance, soit sous forme de formation et d’accompagnement, et/ou d’analyse et de documentation des logiciels malveillants (malware) et autres menaces numériques. Parmi les pays représentés, on retrouve par exemple : l’Arménie, le Brésil, la Colombie, le Luxembourg, le Myanmar, le Nigeria, l’Ouganda, le Pakistan, la Serbie, Taïwan, le Tibet, l’Ukraine et les États-Unis.

Les membres du CiviCERT partagent ensemble les dernières nouvelles sur les cas de réponse rapide qu’ils et elles ont mené à bien, le type de nouveaux risques ou menaces auxquels font face les acteurs et actrices de la société civile, et les ressources, recherches ou outils qui sont en cours de développement. Ces mises à jour fournissent un instantané du panorama mondial des attaques numériques contre les HRD et la société civile.

De plus, un soutien est fourni en termes de connaissances ou d'accès aux ressources. Lorsque c'est possible, des webinaires sont organisés pour présenter des cas ou des méthodes spécifiques. Enfin, les membres du CiviCERT se coordonnent via une liste de diffusion privée et chiffrée et se retrouvent en réunions présentielles soit lors de conférences internationales sur la sécurité numérique pour la société civile ou via des formations s'adressant à leurs membres. Tou·tes les membres ont accès à une série de ressources et d’infrastructures techniques partagées.

Par exemple, les organisations du CiviCERT qui le souhaitent peuvent être répertoriées comme organisation de soutien dans la trousse de premiers soins numériques, une ressource gratuite pour aider les intervenant·es du réseau de réponses rapides, les formateur·rices en sécurité numérique et les activistes amateur·rices de technologies à mieux se protéger et à mieux protéger les communautés qu'ils et elles soutiennent contre les types les plus courants d'urgences numériques. Cette ressource agit comme mécanisme de réception des demandes de soutien au CiviCERT, via une approche de type « choisissez votre propre aventure », qui guide le visiteur ou la visiteuse par des questions qui permettent de comprendre son problème et déterminer quel·le membre du CiviCERT pourra le mieux s’occuper de son urgence. Pouvant également être utilisé hors connexion, le site internet est disponible en arabe, albanais, birman, anglais, français, indonésien, portugais, russe, espagnol et thaï.

De plus, les membres du CiviCERT ont accès à une instance de la Malware Information Sharing Platform (MISP), du projet Phishdetect et une instance du Cuckoo Sandbox qui facilite l’analyse criminalistique des logiciels malveillants, analysant ce qu’ils font, les composants qu’ils affectent et les connexions qu’ils font.

Le CiviCERT et les centres d’assistance à la sécurité numérique pour la société civile font encore figure d’exception, et les modèles actuels de CERT/CSIRT/COS ne sont habituellement pas développés en pensant aux citoyen·nes et à la société civile. Ils tendent à être orientés principalement vers le secteur commercial et gouvernemental, et n’adoptent pas une perspective intersectionnelle dans la façon dont ils analysent les risques rencontrés par les publics qu’ils servent. Ils ont plutôt tendance à promouvoir une vision apolitique et neutre des technologies. Ceci peut entraîner de graves problèmes car les instituts de sécurité numérique financés par l'argent public ne donnent la priorité qu’aux entités commerciales et aux personnes mineures, ignorant le risque auquel font face les femmes, les personnes LGBTQIA+ et les populations traditionnellement discriminées et marginalisées, toutes étant souvent la cible de fraude électronique, de cybercrime et de violences de genre dans les espaces numériques, et ne sont habituellement pas prises en charge par ces organisations. Le fardeau que suppose de contrer ces dangers, risques et violences retombe sur la société civile auto-organisée, qui ne reçoit qu’un financement et un soutien limités.