Michael P. Gallaher, Albert N. Link et Brent R. Rowe, Cyber Security Economic Strategies and Public Policy Alternatives, 2008, Cheltenham, Edward Elgar, 266 p.

Le programme de recherche sur la cybersécurité est en pleine émergence actuellement. Bien que profondément multidisciplinaire, ce programme de recherche touche directement les études internationales et l’analyse des politiques publiques. Le livre de Gallaher et de ses collègues s’adresse plus au lectorat de l’analyse des politiques publiques qu’à celui des études internationales. Ce livre enrichit avantageusement la littérature sur l’analyse de prise de décision relativement à la menace cybernétique à l’intérieur des institutions publiques et des entreprises privées. Il rassemble à la lumière d’un cadre théorique original une multitude de connaissances techniques, administratives, technologiques et politiques autrement dispersées. Sans en faire un résumé exhaustif, disons que ce livre porte sur trois éléments essentiels qui synthétisent de façon pertinente l’ensemble de son contenu. Il s’agit de l’approche théorique de la cybersécurité par l’analyse de la prise de décision, de la diversité des pratiques organisationnelles par rapport à la cybersécurité qui a été révélée par les auteurs et du rôle des gouvernements dans la sécurisation du cyberespace. L’objectif général de l’ouvrage est de présenter la première analyse systématique du développement des enjeux inhérents au cyberespace et du rôle qu’ont à jouer les gouvernements dans la préservation des infrastructures critiques. À cette fin, les auteurs amorcent leur ouvrage par la création d’une approche théorique originale. Cette approche est axée sur les études de cas tirées des rencontres avec une centaine d’entreprises ou d’institutions publiques situées aux États-Unis et des entrevues de leurs dirigeants. À partir de la somme d’informations générée par ces rencontres, les auteurs établissent une série de tendances et de stratégies qu’adoptent les institutions visitées en matière de sécurisation des infrastructures liées au cyberespace. À l’aide de l’interprétation des tendances et des stratégies, autrement dit de leurs forces et de leurs faiblesses, les auteurs proposent plusieurs recommandations et politiques publiques aux différents acteurs du milieu. Par exemple, les auteurs exposent au quatrième chapitre les deux stratégies générales habituellement adoptées par les institutions, la stratégie d’investissement et celle de la mise en oeuvre, et les deux grandes tendances observées, l’approche proactive et l’approche réactive en matière de cybersécurité. En vertu de la gestion du risque et de la tolérance à ce même risque, les dirigeants et les techniciens responsables de la sécurité informatique doivent composer avec de nombreuses contraintes, dont le budget et l’ampleur de l’institution, dans leur stratégie de sécurité cybernétique. De plus, les auteurs ont remarqué que, même si les institutions qui sont proactives en matière de cybersécurité sont moins vulnérables aux menaces en provenance du cyberespace, la majorité des institutions préfèrent adopter un comportement réactif, car c’est beaucoup plus rentable financièrement. La principale conclusion du livre propose que la cybersécurité est un bien public qui laisse voir deux failles de marché importantes : 1) l’absence d’informations fiables et peu onéreuses sur lesquelles les institutions peuvent baser leurs décisions en matière de cybersécurité et 2) les coûts externes d’une brèche de sécurité qui rejaillissent sur les autres institutions et les consommateurs. Les principales recommandations des auteurs pour les gouvernements ont pour objectif d’éliminer ou de diminuer ces deux failles qui freinent le développement de la cybersécurité. Entre autres, ils recommandent d’améliorer le financement des organismes étasuniens chargés de l’élaboration de normes de sécurité communes, la collecte et la distribution d’informations gratuites et accessibles à propos de la cybersécurité, de même que la redistribution des coûts de la sécurité parmi l’ensemble des acteurs concernés. Toutes ces recommandations ont pour but de favoriser l’investissement privé dans la sécurisation des réseaux. Par la suite, dans la seconde partie du livre, les auteurs font valoir leurs recommandations au moyen de quatre études de cas …