L'Inde exploite l'une des plus vastes infrastructures numériques publiques du monde : identité biométrique généralisée, paiements instantanés utilisés par des centaines de millions de personnes, dossiers médicaux et administratifs de plus en plus dématérialisés. Cette échelle en fait une cible de choix pour la cybercriminalité comme pour l'espionnage d'État, dans un pays qui n'a pourtant jamais publié de stratégie nationale de cybersécurité pleinement aboutie, malgré plusieurs versions préparatoires depuis des années.
La réponse indienne s'est construite par empilement d'agences plutôt que par une architecture pensée d'emblée comme un tout, ce qui produit des capacités réelles mais des zones de recouvrement et des angles morts entre le civil, les infrastructures critiques et le militaire.
Une architecture de cybersécurité éclatée entre plusieurs autorités
La réponse aux incidents relevant du grand public et des entreprises revient à l'équipe nationale d'intervention d'urgence informatique, rattachée au ministère de l'Électronique et des Technologies de l'information. La protection des infrastructures jugées critiques — énergie, finance, télécommunications — relève d'un centre distinct, placé sous l'autorité de l'organisme technique de renseignement plutôt que du ministère civil. Le volet militaire est confié depuis 2019 à une agence de cyberdéfense interarmées, créée en même temps que son équivalent spatial. Un centre de coordination cyber, enfin, est censé assurer la circulation de l'information entre ces différentes structures.
Cette répartition n'est pas propre à l'Inde — la plupart des grandes puissances distinguent le civil, les infrastructures critiques et le militaire — mais l'absence d'une doctrine publique unifiée rend plus difficile, pour les acteurs privés comme pour les partenaires étrangers, de savoir précisément qui répond de quoi.
CERT-In, la cheville ouvrière civile
L'équipe nationale d'intervention a acquis une autorité renforcée en avril 2022, lorsque des directives adoptées en vertu de la loi sur les technologies de l'information ont imposé aux entreprises un signalement des incidents de sécurité dans un délai de six heures, la conservation prolongée des journaux de connexion, et une obligation d'identification des clients pour les centres de données, les hébergeurs et les fournisseurs de réseaux privés virtuels.
Ces règles ont suscité une controverse : plusieurs fournisseurs internationaux de VPN ont choisi de retirer leurs serveurs physiquement installés en Inde plutôt que de s'y conformer, et des organisations de défense des libertés numériques y ont vu un risque pour la confidentialité des utilisateurs. Le gouvernement a dû accorder un délai supplémentaire aux petites entreprises pour se mettre en conformité, signe des frictions que ce durcissement a provoquées.
Des infrastructures critiques déjà visées
La nécessité de ce durcissement n'est pas seulement théorique. Fin 2022, une attaque par rançongiciel a paralysé pendant plusieurs semaines les systèmes informatiques du principal hôpital public de New Delhi, perturbant l'accès aux dossiers de millions de patients et relançant le débat sur la sécurité numérique du secteur de la santé. Des rapports antérieurs avaient également fait état d'intrusions dans des systèmes de contrôle du réseau électrique, sur fond de tensions frontalières avec la Chine, sans que l'origine en soit officiellement confirmée par New Delhi.
L'écosystème des paiements numériques, dont l'usage s'est banalisé à une échelle inédite, constitue une cible croissante pour la fraude organisée, ce qui a conduit le gouvernement à multiplier les campagnes de sensibilisation et les dispositifs de signalement dédiés aux escroqueries en ligne.
La donnée personnelle, nouveau champ de bataille juridique
La loi sur la protection des données personnelles numériques, adoptée en 2023 après des années de tergiversations, tente de concilier deux impératifs difficiles à tenir ensemble : poursuivre la numérisation massive des services publics et de l'identité biométrique, et garantir des protections que la Cour suprême a elle-même érigées en droit fondamental. Sa mise en œuvre complète, à travers les textes d'application, reste progressive.
Ce chantier juridique est indissociable de la cybersécurité : plus l'Inde numérise de services sensibles, plus la protection des données qui y circulent devient un enjeu de sécurité nationale autant qu'un enjeu de droits individuels.
Le cyber militaire, une doctrine encore jeune
L'agence de cyberdéfense créée en 2019 reste discrète sur ses moyens et ses opérations, à l'image des autres composantes émergentes de la puissance militaire indienne dans les domaines technologiques. L'Inde évite en général de désigner publiquement un État comme responsable d'une cyberattaque, y compris lorsque les indices techniques pointent vers un acteur précis, préférant les canaux diplomatiques discrets à la dénonciation publique pratiquée par certains pays occidentaux.
Cette réserve traduit une prudence délibérée : nommer un agresseur exige des preuves difficiles à rendre publiques sans exposer des capacités de détection, et complique une relation bilatérale que New Delhi préfère souvent gérer par d'autres canaux.
Une doctrine fragmentée face à une menace qui ne l'est pas
L'Inde dispose de capacités réelles de détection et de réponse, portées par des agences compétentes et des textes de plus en plus contraignants. Ce qui lui manque encore, c'est une articulation publique claire entre ces briques : qui protège quoi, selon quelle chaîne de commandement, avec quelles règles d'engagement en cas d'attaque contre une infrastructure vitale.
À mesure que l'Inde étend son socle numérique public plus vite qu'elle ne consolide son architecture institutionnelle, elle reproduit une tension déjà observée dans ses programmes spatial et nucléaire : des capacités techniques avancées, une doctrine d'emploi qui peine à suivre au même rythme.
Sources documentaires
Press Information Bureau, directives de CERT-In sur les pratiques de sécurité de l'information, avril 2022
CERT-In, texte des directives du 28 avril 2022 (article 70B de la loi sur les technologies de l'information)
PIB, foire aux questions de CERT-In sur les directives de cybersécurité
PIB, mesures du gouvernement pour protéger les infrastructures critiques et les données privées
PIB, « CERT-In : le défenseur de première ligne de l'Inde face aux cybermenaces »
Les satellites militaires indiens
L'autre domaine où l'Inde construit, par empilement d'agences, une doctrine de sécurité technologique.
Lire l'analyse →Les technologies numériques indiennes
L'infrastructure publique numérique dont la cybersécurité doit désormais assurer la protection.
Lire l'analyse →Les armes antisatellites
Une même réserve indienne à afficher publiquement doctrine et capacités dans un domaine émergent.
Lire l'analyse →
Analyste en géopolitique, anthropologie politique et relations internationales.