5G: l’éléphant qui débarque dans une boutique de porcelaine

Les gouvernements se penchent sur le fait d’accorder ou non leur confiance à Huawei et ZTE, mais dans la pratique, cela ne fera guère de différence. Le problème réside en effet dans l’externalisation massive chez des partenaires, ce qui fait que les opérateurs ont depuis longtemps déjà perdu le contrôle, selon Bert Hubert.

Les télécommunications font tourner le monde et au fur et à mesure qu’on se tourne vers le nuage, leur limitation pourrait impacter lourdement notre économie et notre sécurité. Au départ de ce postulat, il est logique que nous réfléchissions à bon escient sur les services dont notre société a crucialement besoin.

Bref, il s’agit de savoir aujourd’hui si les firmes télécoms européennes peuvent acheter de l’équipement à Huawei. La préoccupation rarement explicitement exprimée est que les entreprises chinoises ont des comptes à rendre et sont parfois directement ou indirectement la propriété de leur gouvernement ou du parti politique qui dirige le pays. Il en résulte que l’équipement d’Huawei peut s’avérer mal intentionné à notre égard.

Théoriquement, notre infrastructure télécom pourrait ainsi être espionnée par la Chine ou être paralysée en cas d’un conflit avec ce pays ou avec l’un de ses alliés. Ce qui paraît moins urgent, c’est l’impact que cela aurait sur notre ‘souveraineté numérique’: si nous achetons tous nos appareils dans ce lointain pays, nous ne pourrons à terme plus mettre en oeuvre une infrastructure de communication sans l’aide de la Chine.

Ces trois préoccupations – espionnage, disponibilité et souveraineté/autonomie – ont un rôle à jouer dans “la décision 5G”.

Il y a quelques années, un gouvernement européen avait essayé de déployer un réseau de communication national pour les cas d’urgence. La tentative échoua, parce que les vendeurs ne proposaient que des services via le nuage. Aucun ne pouvait donc fournir un réseau complètement indépendant.

Mon propos est de dire ici que la frontière est depuis longtemps déjà franchie et qu’il faut considérer d’un oeil critique l’achat d’encore plus d’équipements et de services télécoms de potentiels ennemis géopolitiques.

Nous devrions mettre tout en oeuvre pour retrouver le contrôle sur notre infrastructure de communication actuelle, quelque chose que nous avons perdu depuis longtemps déjà. Puis-je ici faire observer que nombre d’arguments relatifs à la Chine s’appliquent tout autant aux Etats-Unis, comme cet article dans le Financial Times le rappelait:

Le supposé ‘provider security model’

Dans le débat sur la 5G, il y a l’hypothèse, selon laquelle les fournisseurs de services télécoms nationaux à grande échelle exercent aujourd’hui encore un contrôle correct (ou complet) de leurs réseaux. L’idée est que les opérateurs (tels Vodafone, Deutsche Telekom, Proximus, Orange, Telefonica, KPN, etc.) commandent du matériel qui est ensuite expédié par le fournisseur.

Les collaborateurs de l’opérateur télécom sont alors formés en vue de travailler avec cet équipement, à savoir le déballer, le tester, le configurer et l’utiliser pour déployer de nouveaux réseaux. Ensuite, ce sont d’autres employés de cet opérateur qui exploitent et surveillent les réseaux.

Si l’équipement se comporte bizarrement, comme par exemple en transférant des données vers des serveurs externes, les collaborateurs de l’acteur télécom peuvent le remarquer et examiner le pourquoi. De même, lorsque des mises à niveau logicielles arrivent, il convient d’abord de les tester, pour savoir si rien ne cloche, avant d’être installées sur le réseau proprement dit.

Un partage très sensible au niveau confidentiel, comme les détails de conversations, peut alors être utilisé au sein du service ad hoc pour établir les factures ou résoudre les problèmes des clients. Et si une autorité introduit une requête, les données nécessaires peuvent également être puisées dans ces systèmes gérés localement chez un opérateur qui en a le contrôle complet. Tout cela est possible du fait que le fournisseur dispose d’un staff expérimenté et doté d’une grande expertise télécom.

Les autorités croient aussi en ce modèle et exigent que des figures-clés au sein de fournisseurs de services nationaux aient certains pouvoirs sécuritaires, afin que la police et les services de renseignements puissent poser des questions, dont les réponses ne fuitent pas vers des acteurs tiers.

Dans ce modèle, le débat sur la 5G se présente comme une situation, où le choix du vendeur inadéquat perturbe le modèle du contrôle correct et local. Les choses changeraient subitement…

La réalité

Dans la pratique, la plupart des fournisseurs de services ne travaillent plus de cette manière depuis des décennies déjà. Stimulés par les résultats trimestriels et les consultants, ils sont encouragés à externaliser tout ce qui peut l’être.

Chez les fournisseurs télécoms modernes, du nouvel équipement est déployé, configuré, entretenu et souvent même financé par le vendeur. Je vous invite à méditer un instant sur ce qui suit: Huawei et ses proches partenaires gèrent aujourd’hui déjà l’infrastructure mobile de plus de cent millions d’utilisateurs européens.

L’opérateur qui propose le service, n’a souvent aucune vision détaillée sur ce qui se passe et aurait bien des difficultés à le découvrir avec l’aide du personnel restant. L’interminable externalisation signifie aussi que la majeure partie de l’expertise locale a déserté l’entreprise, de sa propre initiative ou non.

Avec notre entreprise, nous avons nous-mêmes demandé à des fournisseurs de services européens en vue pourquoi seule une partie de leurs clients recevait du service IPv6 et comment ils choisissaient les secteurs pouvant disposer de ce service. Ils n’ont pu nous le dire et indiquèrent qu’ils aimeraient eux-mêmes le savoir.

La facturation est sous-traitée à coup sûr depuis les années 2000 déjà. Tous les Call Detail Records (CDR) sont envoyés vers un acteur tiers, souvent en Israël ou en Chine. Ce genre de CDR tient à jour qui téléphone à qui et pendant combien de temps, avec éventuellement d’autres données telles la localisation du client et/ou s’il se trouve à l’étranger, etc.

Les CDR sont de puissantes métadonnées qui sont souvent utilisées dans des enquêtes criminelles et de renseignements. Combinés à des informations sur les pylônes d’antennes ou des coordonnées, ils forment une piste virtuelle vers les activités d’un client.

‘Wholesale outsourcing’

Chez un fournisseur de services moyen, les réseaux mobiles et/ou fixes sont desservis par le vendeur et pas par le fournisseur même. Le vendeur requiert encore un input technique à propos de ce qui doit arriver, ce qui fait que le fournisseur de services a encore et toujours besoin d’un staff IT.

Mais ici encore, l’externalisation va bon train au fil du temps. Chez un fournisseur mobile en vue, la procédure est la suivante: l’IT est externalisée à Tech Mahindra, puis Tech Mahindra recourt à son tour à Ericsson, qui commande le réseau.

Mais Ericsson et d’autres fournisseurs externalisent à leur tour différentes tâches dans divers pays, où les salaires sont en général plus bas.

Dans un autre exemple, un fournisseur néerlandais en vue a transféré une grande partie de son staff technique chez Huawei. La moitié de son nouveau siège central est déserté depuis lors. L’autre moitié est constituée d’architectes IT, qui ne dépassent pas un tableur Excel ou un diagramme en Visio lorsqu’il est question d’activités réseautiques.

En résumé, l’idée, selon laquelle les fournisseurs télécoms sont autonomes et peuvent garantir la confidentialité de leurs clients, est très douteuse.

En même temps, lorsqu’il est question d’une éventuelle perturbation par les ‘Chinois’ via des portes dérobées, on oublie qu’il suffit pour eux d’arrêter d’assurer la maintenance de nos réseaux!

Sécurité et protection par ‘Service Level Agreements’

Les fournisseurs de services sont conscients des risques qu’ils prennent. Ces risques sont aussi mentionnés dans des contrats et des Service Level Agreements. Selon ce raisonnement, les entreprises chinoises ne perturberont pas notre communication, parce que le contrat stipule que cela n’arrivera pas.

De la même façon, les vendeurs promettent qu’ils n’utiliseront les données auxquelles ils ont accès qu’aux fins spécifiquement décrites. Autrement dit: les services de renseignements étrangers n’auront pas accès à nos données d’appel, parce que le contrat le prévoit ainsi.

Mais tout un chacun ayant un minimum de connaissance ou d’expérience en sécurité nationale, sait que ce type d’accord n’a aucune valeur. Tant en Chine, aux Etats-Unis que dans la plupart des pays européens, la loi stipule qu’un mandat public prend le pas sur n’importe quel engagement de confidentialité contractuel entre un client et son fournisseur.

La facilité de la ‘sécurité par contrat’ fait qu’on veut trop souvent croire qu’il est possible d’envoyer nos plus grands secrets à l’étranger, sans pour autant que notre sécurité soit menacée.

Le département sécurité

Tous les fournisseurs de services possèdent un département sécurité. Je connais des gens qui y travaillent et je ressens leur combat. Dans l’article du Financial Times susmentionné, on peut lire ce qui suit:

“Nous ne faisons confiance à personne, que ce soit en Chine ou aux Etats-Unis, et aucun opérateur ne devrait le faire”, prétend Scott Petty, chief technology officer chez Vodafone UK. “Notre travail consiste à protéger nos clients.”

Un fournisseur en vue a pris la décision assez unique de vendre plus ou moins son propre département sécurité, ce qui fait qu’il est encore plus facile d’ignorer ses exigences. Un autre fournisseur encore a perdu son CISO après une confrontation gênante avec la haute direction. Des mois plus tard, il n’a toujours pas été remplacé.

La réalité, c’est que pour ne pas devoir faire confiance à des acteurs extérieurs, où qu’ils soient, l’entreprise tout entière doit acquérir de meilleures compétences, exercer elle-même le contrôle du réseau et de son fonctionnement. Il ne suffit pas de disposer d’un département de sécurité pavé de bonnes intentions.

Huawei, Nokia, Ericsson?

Ce qui défraie moins la chronique, c’est que le choix entre Ericsson, Nokia et Huawei est moins simple qu’il n’y paraît souvent.

Si l’Europe, ou ‘l’Occident’ en général, veut conserver des capacités de communication, il serait bon d’opter régulièrement pour un vendeur local.

Mais si les fournisseurs de services de communication veulent contrôler leurs réseaux, l’externalisation de leurs opérations à des tiers, surtout lorsque leur personnel se trouve à une certaine distance, n’apportera pas grand-chose de positif.

Il nous faut faire remarquer ici que des éléments logiciels cruciaux d’Ericsson sont manifestement développés en Chine, ce qui entraîne d’autres préoccupations.

Toutes les grandes firmes d’outsourcing ont déjà été compromises. Il est fondamentalement très compliqué de fournir de manière sécurisée des services à moindre coût, à bonne distance du client.

Gérer un réseau en toute sécurité signifie qu’il faut occuper beaucoup de personnel localement et développer avec lui une relation telle que le fournisseur de services puisse mettre en place une culture et une structure de la connaissance solides, capables de garder le contrôle du réseau de communication.

Comment en est-on arrivé là?

Si on compare les firmes télécoms européennes, il y en a encore, surtout en Grande-Bretagne, qui effectuent en interne un grand nombre d’opérations, sans externalisation à grande échelle donc.

Par comparaison: la plupart des fournisseurs de services américains parviennent à conserver nettement plus d’expertise et peuvent ainsi exploiter leurs réseaux de manière nettement plus indépendante. D’autre part, il convient d’ajouter qu’il y a moins souvent de fuites chez les fournisseurs américains, mais en contrepartie, ceux-ci vendent simplement les données.

Outre le coût, les fournisseurs de services européens ont d’autres raisons encore d’externaliser: on a par tradition trop peu accordé d’importance à l’ingénierie (télécom). Les entreprises concernées encensaient bien davantage leurs départements marketing et finances.

Chez un fournisseur, cela alla même si loin que lors d’une réunion du personnel avec le staff technique, on a entendu dire que ‘le maintien en fonction d’un réseau de communication’ n’était en aucun cas une compétence de base pour lui.

Avec ce genre de propos, un acteur télécom n’est pas un endroit agréable pour le talent technique. Outre le manque de considération, il y a aussi la singulière absence d’une rétribution suffisante.

Les fournisseurs de services attribuent souvent leurs difficultés à trouver du talent aux piètres conditions sur le marché du travail, ce qui fait que l’externalisation peut être la solution. En même temps, ils accélèrent l’exode, car qui est prêt à travailler pour une entreprise, qui veut externaliser les tâches au candidat le moins cher?

Citons ici l’exemple d’un réseau européen ayant 15 millions de clients et tournant avec une équipe de 4 personnes, dont un manager, pour fournir tous les services d’adressage et de numérisation. Après avoir mis des années à en faire un succès, voici que les 4 collaborateurs ont à présent aussi été externalisés.

Et maintenant?

Les choses sont claires à présent. Les fournisseurs doivent dans un premier temps et coûte que coûte acquérir eux-mêmes les capacités techniques. Peut-être en recourant moins à des spots TV, peut-être aussi en voulant moins concurrencer Netflix.

Ils peuvent trouver l’argent et ainsi se réorganiser pour évaluer le talent technique à sa juste valeur, pour le conserver, lui donner les moyens, voire simplement pour attirer du nouveau talent.

L’expertise technique est la première ligne de défense contre les vendeurs mal intentionnés qui veulent espionner et déstabiliser. Une excellente connaissance locale en télécoms aide à garantir la future autonomie.

Avec de capacités locales suffisantes, l’entreprise n’est pas obligée de confier tout son réseau à un seul fournisseur. Cela lui permet de créer les solutions les plus adaptées, que le fournisseur doit respecter, sous peine de faire place à un autre.

Open source?

L’open source est souvent qualifiée de solution transparente. Mon entreprise et sa société-mère reposent en grande partie sur l’open source. Il est donc évident que je suis moi-même d’avis que cela peut jouer un rôle.

Mais l’open source n’est transparente que pour les personnes possédant les compétences requises. Il ne suffit pas de baser son réseau sur la technologie open source, si cela ne va pas de pair avec du personnel capable de détecter les problèmes et de les résoudre.

Nouveau fournisseurs?

Les principaux acteurs dans le paysage télécom (mobile) sont Huawei, Ericsson et Nokia. En raison de leurs compétences limitées, les opérateurs sont contraints d’acheter des solutions intégrées, souvent à un fournisseur unique. Il y a trop peu de capacités internes pour intégrer des solutions de plusieurs fournisseurs qui se concurrencent entre eux.

Cela signifie qu’il sera malaisé pour de nouveaux acteurs de s’imposer sur le marché 5G. Il faudra se distinguer sur tous les plans en même temps, sous peine que les clients ne puissent pas intégrer votre technologie, même si elle est valable.

Aux Etats-Unis, des voix se font actuellement entendre, réclamant d’investir un milliard de dollars dans la recherche, afin de faire évoluer les acteurs plus modestes en de sérieux fournisseurs 5G. Qui sait, l’Europe décidera peut-être aussi qu’un écosystème de communication fonctionnant bien est dans son intérêt.

Automatisation

Les fournisseurs de services classiques possèdent des centaines de milliers d’éléments réseautiques. Cela vous surprendra peut-être, mais beaucoup d’entre eux sont aujourd’hui soumis à une maintenance manuelle. C’est le travail de milliers d’ingénieurs en réseau que de faire tourner une infrastructure de manière fluide.

Entre-temps, des firmes internet à grande échelle telles Google, Netflix et Facebook ont automatisé autant que possible leur maintenance. Dans ce contexte, l’automatisation signifie que les configurations ne se font plus manuellement, mais les réseaux dans leur ensemble sont provisionnés et configurés à partie de modèles centraux.

Grâce à l’automatisation, des équipes assez réduites peuvent gérer relativement facilement des réseaux étendus. Surtout si elles recourent à l’intégration continue et aux tests en condition réelle.

De cette manière, l’automatisation intelligente est une bonne alternative à l’externalisation à grande échelle. Autrement dit: elle permet d’insourcer la maintenance, sans devoir engager des milliers de personnes, qui ne sont du reste même pas disponibles sur le marché du travail.

En résumé

La plupart des fournisseurs de services télécoms n’ont à présent aucun contrôle valable sur leur réseau. En raison d’une interminable externalisation, ils dépendant énormément des fournisseurs de réseaux et d’acteurs tiers.

Actuellement, opter pour Huawei ne change pas radicalement les choses, mais c’est un prolongement de la stratégie existante de beaucoup d’opérateurs.

Si nous sommes réellement préoccupés de notre confidentialité et de la stabilité de nos réseaux de communication et si nous voulons avoir une vision à long terme, il faut pouvoir créer de manière autonome ce genre de réseaux. Il est aujourd’hui nettement plus important que les fournisseurs européens retrouvent ces capacités.

Cela exige des moyens, afin que les départements de développement soient de nouveau efficaces et ne soient pas de la chair à canon pour l’externalisation. Des collaborateurs bien formés constituent une puissante ligne de défense contre les piètres fournisseurs.

Redévelopper ces compétences techniques permettrait de mettre en oeuvre des réseaux avec plusieurs fournisseurs, qui courraient tous le risque d’être remplacés en cas de problèmes. Cela créerait aussi de l’espace pour permettre aux acteurs plus modestes d’accéder au marché.

Il convient encore d’ajouter qu’avec l’aide de l’open source et d’une automatisation poussée, il serait possible de gérer le réseau sans avoir besoin de milliers de personnes, qui ne sont même pas disponibles sur le marché du travail.

Par-dessus tout cependant, le débat ne devrait pas porter sur le choix pour ou contre Huawei. Mais sur la manière dont nous contrôlerons notre infrastructure de communication vitale. Choisir ou non un fournisseur spécifique n’y changera pas grand-chose.

Cette opinion est parue initialement sur la page personnelle de Bert Hubert et a été traduite avec son autorisation, puis transférée sur Datanews.be