En plus de huit ans à la tête de l'Agence nationale de la sécurité des systèmes d'information (Anssi), Guillaume Poupard est progressivement devenu le Monsieur Cybersécurité de la France. Du haut de sa grande stature, il a dirigé l'impressionnante croissance de l'agence, son ouverture progressive au secteur privé, et sa participation toujours plus grande dans le débat public et politique. A tel point qu'il incarne la cybersécurité française comme personne avant lui. Alors forcément, son départ à la fin de l'année -annoncé le 8 juin à l'occasion du Forum International de la Cybersécurité (FIC) et officialisé sobrement ce jeudi sur son compte LinkedIn- va laisser un grand vide à l'Anssi. Pour autant, Guillaume Poupard se veut rassurant. Son remplacement « va bien se passer [car] il y a des gens très compétents [dont l'agence ne communique pas encore le nom, ndlr] pour reprendre le flambeau », indiquait-il au FIC. En seul commentaire sur son bilan, il se disait « satisfait de laisser une boutique reconnue par les autorités ». « Quand je fais remonter des sujets, ils sont écoutés », faisait-il valoir, comme symbole du poids politique acquis ces dernières années.
Lire aussi : Cyberattaques : "une grande crise est possible et comporte un risque systémique" (Guillaume Poupard, ANSSI)
Sortir l'Anssi de son « bunker »
Guillaume Poupard a pris les rênes de l'Anssi en 2014, pour remplacer le premier directeur de l'histoire de l'agence, Patrick Pailloux, parti après neuf ans de service dont cinq à la tête de la Direction centrale de la sécurité des systèmes d'information (DCSSI), l'ancêtre de l'Anssi. La tâche n'était pas aisée : son prédécesseur avait structuré l'agence dès sa création en 2009, et posé les premières pierres de sa croissance. Mais l'institution, très fermée, fonctionnait encore comme une agence de renseignement.
« Avant Guillaume Poupard, l'Anssi était un bunker. Il était la personne parfaite pour ouvrir l'agence à l'extérieur. On dit qu'il sait autant parler aux cheveux courts qu'aux cheveux longs », confie à La Tribune François Deruty, sous-directeur des opérations de l'Anssi entre 2018 et 2021, et désormais chief operating officer (COO) de l'entreprise de cybersécurité Sekoia. Autrement dit, Guillaume Poupard sait adapter son discours au militaire et au régalien, tout comme s'adresser aux hackers et aux civils, grâce à plusieurs atouts.
Pour commencer, il est « crédible techniquement », dixit Yann Bonnet, son directeur de cabinet entre 2018 et 2021, qu'il a quitté pour devenir directeur général délégué du Campus Cyber. Docteur en cryptographie, Guillaume Poupard avait passé plusieurs années à la tête du Laboratoire de cryptographie de la DCSSI, avant de partir vers la Direction générale de l'armement (DGA) en 2010. « Quand il débarquait sur un sujet, tout coulait de source », se rappelle Samuel Hassine, ancien chef de l'équipe cyber threat intelligence (CTI) de l'Anssi, passé chez l'éditeur Tanium.
Ensuite, même s'il n'était pas un communiquant à son arrivée en provenance de la DGA, il a rapidement développé ses qualités dans ce domaine, sûrement aidé par son DEUG en psychologie. Son aisance dans le discours, combiné à une expertise technique rare, a fait de lui une des têtes d'affiches de l'écosystème, et un très bon client pour la presse. Résultat, même hors des murs des Invalides où se trouve le siège de l'agence, le visage de Poupard était reconnu.
La direction de l'Anssi, un poste désormais politique
Il faut dire que l'explosion des cybermenaces, toujours plus retentissantes, et le rôle de « pompier du numérique » de l'Anssi, ont amené Guillaume Poupard à s'exprimer régulièrement, comme lors du piratage de TV5 Monde ou lors de la cyberattaque de l'hôpital de Rouen. La multiplication des rançongiciels -des logiciels malveillants capables de paralyser des systèmes informatiques entiers- a achevé de faire remonter la cybersécurité en tête des priorités des entreprises, mais aussi du pouvoir public.
« Le poste de directeur général de l'Anssi est progressivement devenu un poste moins technique et beaucoup plus politique », constate Samuel Hassine. De plus en plus consulté sur les sujets divers de cybersécurité - et non plus seulement sur celui des infrastructures critiques au cœur de la mission de l'Anssi - Guillaume Poupard s'est mué en figure publique, avec un véritable poids politique.
Grand défenseur du chiffrement - une méthode de protection des données régulièrement remise en cause sous prétexte de lutte anti criminelle -, le directeur de l'Anssi a su se montrer intransigeant sur les postures de la France. Il a notamment maintes fois répété la nécessité d'une séparation nette entre les capacités offensives et défensives de la nation dans le cyberespace. « Il avait un rôle de garde-fou, et il n'hésitait pas à rappeler le bon point d'équilibre dans chaque situation », précise Yann Bonnet.
Après trois années de travail avec Guillaume Poupard, l'ancien chef de cabinet le désigne comme « un vrai homme d'Etat, comme on en voit peu, dévoué à sa nation ». D'ailleurs, ce dernier affichait cet été sa volonté de continuer à travailler dans l'administration et il expliquait avoir candidaté à d'autres postes : « le sens du service public est quelque chose d'important pour moi », expliquait-il alors. Mais la suite de sa carrière se fera finalement dans le privé, glissait-t-il à La Tribune lors des Assises de la Cybersécurité, début octobre, sans donner le nom de l'entreprise. D'après la Lettre A, Docaposte, filiale du groupe La Poste spécialisée dans le numérique, l'aurait approché. Une union qui ferait sens, étant donné l'historique du groupe et sa proximité avec les pouvoirs publics. Son successeur à l'Anssi aura quant à lui la charge d'incarner à son tour le rôle politique de l'agence.
Ouverture à l'écosystème privé
Les anciens collaborateurs de Guillaume Poupard évoquent un homme « calme», « zen » qui n'élève la voix que très rarement. « C'est quelqu'un de compétent, foncièrement honnête, qui parle vrai. Il a toujours le bon mot au bon moment », décrit François Deruty. Des traits de caractère appréciés par ses équipes dans le contexte de crise permanente auquel fait face l'agence. Rien qu'en 2021, elle a dû intervenir sur 17 opérations hostiles contre des infrastructures critiques françaises, dont 14 liées à de l'espionnage. Chacune de ces opérations peut durer plusieurs semaines, voire des mois, et il ne s'agit que d'une petite partie du travail de l'Anssi, qui veille constamment sur des centaines de structures.
Face à ce volume de menaces à gérer, Guillaume Poupard a constamment soutenu le développement de l'écosystème privé, notamment au travers d'une politique de certification menée par l'Anssi. « Quand il s'agit d'aller superviser plus d'un millier d'acteurs, l'Anssi ne sait pas faire seule, même avec ses bras musclés », répétait-t-il encore lors de la conférence de presse du FIC. Cette posture s'est même traduite à l'échelle européenne, où la France s'est placée en pointe sur l'élaboration de plusieurs textes visant à renforcer la sécurité des entreprises, comme la directive NiS.
Ces dernières années, le dirigeant de l'Anssi s'était impliqué dans le projet de Cyber Campus français, devenu réalité en février 2022. Le bâtiment situé à La Défense, sur lequel l'Anssi installe une partie de ses effectifs, a pour but de fédérer l'écosystème autour d'enjeux communs. Guillaume Poupard ne manque pas une occasion de saluer l'initiative, qui a vu le jour sous la coupe de Michel Van Den Berghe, à l'impulsion du président Macron.
Au-delà de ses prises de position publiques, le dirigeant cultive personnellement cette ouverture au reste de l'écosystème. Un jeune chercheur en cybersécurité glisse à La Tribune que, de passage à un bug bounty [une chasse aux failles informatiques contre rémunération, ndlr], le directeur de l'Anssi s'était assis pour boire une bière et discuter « sans langue de bois ». Un geste banal, mais rare pour les dirigeants. « Il n'était pas politique, il l'est devenu », précise François Deruty. Et d'ajouter : « si nous sommes dans la première division mondiale de la cyber, c'est grâce à lui ».
Nouvelle ère pour l'Anssi
Avant Guillaume Poupard, trois des quatre sous-directeurs de l'Anssi - à l'administration, aux opérations, et à l'expertise - ont quitté le navire depuis 2020. Seul Yves Verhoeven, sous-directeur stratégie depuis 2016 (et à l'agence depuis sa création), assure la continuité. Si cette vague de départ dans les équipes dirigeantes n'est pas si inhabituelle dans la haute administration, elle marque néanmoins un véritable tournant pour l'agence.
« Guillaume Poupard a accompagné le développement de l'Anssi, qui est désormais devenu un acteur très important au niveau national et interministériel, mais aussi européen et international. Le défi va être de poursuivre dans cette voie », explique à la Tribune Yves Verhoeven.
Sous Poupard, les effectifs de l'agence ont plus que doublé : de 300 personnes à sa prise de poste, à 500 personnes en 2017, puis 675 en 2022, avec pour objectif d'atteindre la barre des 1.000 agents à moyen terme. Mais cette politique de recrutement commence à toucher ses limites. « Je pense que la barre des 1.000 agents correspond à un plafond : doubler les effectifs ne doublera pas la production. L'Anssi doit désormais avoir le rôle de locomotive pour l'ensemble de l'écosystème », diagnostique François Deruty.
Comme seule attente pour l'avenir de l'agence, le dirigeant actuel a fait le souhait d'une « véritable sensibilisation à grande échelle sur les enjeux de cybersécurité ». Une ambition dont il a construit lui-même les bases, en étant à l'initiative du groupement d'intérêt public cybermalveillance.gouv.fr, qui vient de fêter ses cinq ans et multiplie campagne de prévention ou outils d'aide aux victimes. « Si nous pouvions avoir cinq minutes de temps de cerveau de chaque Français pour passer quelques messages sur la sécurité numérique, ce serait idéal », espère Guillaume Poupard. Ses vœux devraient être rapidement exaucés : le ministre délégué au Numérique Jean-Noël Barrot a fait de la prévention une de ses priorités de sa feuille de route.