Global Security Mag : Pouvez-vous vous présenter et nous décrire votre rôle de Membre du Comité de Programme OPEN SOURCE EXPERIENCE ? Quelles sont les ambitions de cet évènement ?
Frédéric BABIN : J’appartiens à la division Industrie et Technologies de l’ANSSI. Rattachée à la sous-direction expertise, cette division conçoit, développe et met en œuvre la politique industrielle et technologique de l’Agence. En tant que membre du comité de programme de l’évènement Open Source Experience, je me suis principalement attaché à proposer un programme de conférences équilibré pour le track 6 « Cybersécurité et chaîne de production logicielle » : choix des types d’interventions (retours d’expérience, sessions techniques, perspectives marché/réglementaires), diversification des intervenants (communautés, PME/ETI, grands groupes, secteur public, recherche), représentativité des projets européens et pertinence au regard des enjeux de sécurité (sécurisation de la chaîne d’approvisionnement, gouvernance des vulnérabilités, intégration de la security by design dans les pratiques CI/CD).
Plusieurs ambitions de l’évènement OSXP convergent avec celles de l’ANSSI qui s’emploie à utiliser l’open source comme un levier de sa politique industrielle. L’Agence voit l’adoption de l’open source comme un socle d’innovation et de compétitivité en Europe, avec un focus particulier sur la qualité logicielle, la sécurité et l’interopérabilité. L’open source s’inscrit également dans la philosophie historique de l’ANSSI qui vise à faire progresser la sécurité de l’écosystème en promouvant les bonnes pratiques (DevSecOps, gestion des dépendances, builds reproductibles, durcissement des images/containers) tout en répondant aux nouvelles obligations réglementaires.
Global Security Mag : Selon vous, quels sont les enjeux de l’OPEN SOURCE en France et en Europe ? En quoi l’OPEN SOURCE est-il la clé de l’Autonomie Numérique Stratégique ?
Frédéric BABIN : L’ANSSI est fondamentalement une agence technique. Aussi, je centrerai mon approche sur les enjeux qui justifient que l’open source soit considéré comme un domaine d’intérêt pour l’ANSSI.
Les logiciels open source (free and open source software - FOSS) sont omniprésents dans les protocoles réseau, les produits numériques et, de manière générale, au sein de la chaîne d’approvisionnement logicielle. Cela fait d’eux un pilier incontournable du secteur informatique sans qui Internet n’existerait pas dans sa forme actuelle. De fait, ils constituent une opportunité pour l’ANSSI : investir dans la sécurité des FOSS offre un retour sur investissement significatif en renforçant intrinsèquement la sécurité de l’ensemble des actifs numériques et infrastructures qui en dépendent.
Autre constat : la maintenance de l’open source n’est pas gratuite et le niveau de sécurité de certains FOSS critiques est au mieux inégale, au pire, délaissée. Les grandes entreprises technologiques jouent désormais un rôle déterminant dans le financement, la production, la sécurité et la diffusion de l’open source. Si cette implication croissante peut être perçue positivement (car signe d’une professionnalisation et d’une adoption planétaire de l’open source), elle révèle aussi de nouvelles formes de dépendances et de risques systémiques en décalage avec l’éthique fondatrice de l’open source.
En outre, des milliers de petites bibliothèques très utilisées en dépendance indirecte reçoivent peu d’attention et de financement, alors qu’une faille les affectant pourrait avoir des impacts globaux. De fait, il devient crucial d’identifier les logiciels et bibliothèques critiques. Pour être résilient, il est nécessaire d’assurer le financement durable de la maintenance de certaines briques peu visibles et concentrer les efforts de sécurité sur les dépendances réellement critiques. L’ANSSI encourage les travaux d’inventaire pour ce qui concerne l’utilisation de l’open source par l’État et les opérateurs régulés les plus sensibles. L’Agence soutient également des actions visant à améliorer, de façon pérenne, le niveau de sécurité des FOSS (p. ex. en finançant elle-même des évaluations de sécurité )1. Sur ce sujet de la maintenance des projets open source, l’implication des acteurs publics doit encore progresser. Elle est d’autant plus nécessaire que les tâches qu’elle sous-tend sont ingrates et délaissées par les entités privées (la « tragédie des communs numériques »).
Global Security Mag : Pouvez-vous nous parler plus spécifiquement du Track 6 Cybersécurité & chaîne de production logicielle ? En quoi l’OPEN SOURCE est-il vu comme socle de confiance ?
Frédéric BABIN : Comme je l’indiquais plus haut, les logiciels open source sont omniprésents et leur défaillance peut avoir des impacts systémiques. L’un des enjeux clé à l’échelle mondiale, c’est le renforcement de la sécurité du code en général (produits logiciels et leurs dépendances) mais aussi de la sécurité des moyens informatiques utilisés par l’ingénierie du logiciel pour créer des produits. Il s’agit en fait de sécuriser la chaine d’approvisionnement logicielle « de bout-en-bout » pour réduire les risques d’exploitation à grande échelle de vulnérabilités, que celles-ci soient introduites involontairement (p. ex. log4shell en 2021) ou délibérément (p. ex. la porte dérobée dans XZ Utils en mars 2024).
Aux États-Unis, des démarches telles que l’Executive order 14028 visent à apporter davantage de transparence et de traçabilité dans les composants logiciels utilisés en imposant notamment la création de Software Bill of Material (SBOM) et le recours systématique au concept de security by design. En Europe, le Cyber Resilience Act (CRA) cherche notamment à améliorer la robustesse des logiciels, y compris des FOSS. C’est dans ce contexte que les conférences du track 6 de l’Open Source Experience « Cybersécurité et chaîne de production logicielle » ont été sélectionnées, pour éclairer sur les enjeux du CRA et des SBOM.
Global Security Mag : Quel message souhaitez-vous transmettre à nos lectrices et lecteurs, RSSI, CISO, DPO, DSI, CIO, Responsables Cyber et Responsables Cybersécurité ?
Frédéric BABIN : J’invite tous les lecteurs à prendre conscience de la démarche de sécurisation de l’open source actuellement en marche et à s’en saisir. Chacun peut jouer un rôle actif dans cette dynamique, et nous devons collectivement travailler sur plusieurs axes :
• Pour les acteurs publics, il s’agit d’agir auprès des « fournisseurs » pour les aider à produire nativement et durablement du code sécurisé (développeurs en charge de briques critiques, fondations jugées pertinentes, communautés, entreprises qui intègrent ces briques dans les offres commercialisées)2 ;
• Pour les « consommateurs » de produits open source, il apparaît essentiel d’être sensibilisés aux risques liés à l’utilisation de logiciels dont le maintien en condition sécurité n’est pas nécessairement garanti, et d’adopter un traitement du risque éclairé : s’assurer de leur robustesse technique aux attaques, vérifier leur niveau de maintenance et la pérennité de celle-ci, contribuer à des projets open source.
• Pour les éditeurs de logiciels, il est nécessaire d’accorder une attention particulière à la sécurisation de leur chaine d’approvisionnement logicielle. L’offre de sécurisation de la supply chain, déjà conséquente, va continuer à se renforcer dans les années à venir, notamment portée par les nouvelles dispositions réglementaires européennes et par les progrès technologiques.
1 / Exemples récents : identifications de quatre vulnérabilités lors de l’audit du logiciel CAS https://github.com/apereo/cas (cf. bulletin de sécurité Amossys https://www.amossys.fr/insights/blog-technique/responsible-disclosure-of-vulnerabilities-found-on-apereo-cas/), délivrance d’un Certificat de sécurité de premier niveau (CSPN) pour le logiciel KeePassXC.
2 / Exemple récent : approbation de la création de l’EDIC Digital Commons (European Digital Infrastructure Consortium) par la Commission européenne (communiqué de presse du 29 octobre 2025 https://www.numerique.gouv.fr/sinformer/espace-presse/edic-un-consortium-pour-les-communs-numeriques/).
Le salon Open Source Experience se tiendra les 10 et 11 décembre prochains à Paris, Cité des Sciences et de l’Industrie et réunira 90 exposants. 130 conférences sont programmées sous l’orientation éditoriale "L’Open Source, Clé de l’Autonomie Stratégique de l’Europe" et seront réparties en 7 tracks thématiques : Modèles économiques et gouvernance, Intelligence artificielle & calcul scientifique, Architecture cloud & virtualisation, Outils collaboratifs & applications métier, Développement, Cybersécurité & chaîne de production logicielle, et un track International : "European Open Source ready to challenge the status-quo ».
Pour découvrir le programme et vous inscrire : https://www.opensource-experience.com/creer-mon-badge/
