Charles Denyer a travaillé pour le ministère de la Défense et pour 17 agences de renseignement américaines et internationales, directement ou en tant que consultant, pendant la majeure partie de sa carrière professionnelle.
C’est pourquoi il est sceptique quant aux directives fédérales récentes ordonnant aux agences américaines de corriger immédiatement les vulnérabilités logicielles connues, telles que le récent piratage open source Log4j. Les directives exigent que les correctifs aient lieu en quelques semaines ou mois.
Denyer, qui conseille les chefs d’entreprise sur la cybersécurité, les pratiques de cyberhygiène et les problèmes de conformité, déclare que les agences fédérales « sont plus difficiles [que les entreprises privées] à corriger et à gérer. Le processus d’approbation des outils et solutions de sécurité, ainsi que le processus de mise en œuvre, sont minutieusement lents et bureaucratiques. »
En plus de ces problèmes, les agences fédérales sont en pleine crise de cybersécurité, perdant des talents pour des rôles mieux rémunérés dans le secteur privé. (D’après une estimation, 36 000 emplois de cybersécurité du secteur public restent non pourvus, y compris 1 700 postes au Département de la sécurité intérieure uniquement.) Cela signifie moins d’experts pour gérer l’infrastructure réseau complexe du gouvernement et souvent des outils et systèmes existants obsolètes . Les chiens de garde attribuent des notes défaillantes à ces systèmes depuis des années.
« Je ne suis pas sûr que les dirigeants comprennent le problème », déclare Nichoel Brooks, directeur du service fédéral du cabinet de conseil Optiv Security et ancien colonel de l’armée américaine qui a dirigé la modernisation du renseignement. « Cela revient à visualiser ce problème. Le résultat pour les agences fédérales est un nombre insuffisant de personnes pour tout faire, même dans les meilleures circonstances. »
Alors que les agences réorganisent leurs efforts de recrutement et désencombrent leurs piles technologiques, elles peuvent prendre trois mesures de cyberhygiène dès maintenant pour gagner en visibilité et sécuriser leurs réseaux.
1. Assurez-vous de pouvoir surveiller et analyser l’ensemble de l’environnement informatique
Chaque agence fédérale est unique. Mais ils partagent tous le même talon d’Achille : un environnement informatique disparate de systèmes nouveaux et anciens, répartis sur des plateformes sur site et dans le cloud. De plus, les endpoints non gérés se sont répandus avec le passage massif au télétravail. Cela, à son tour, a une visibilité du réseau cloud. Après tout, il est impossible de gérer et de protéger ce que les organisations ne peuvent pas voir.
« Les agences fédérales [ont] un nombre insuffisant de personnes pour tout faire, même dans les meilleures circonstances. »Nichoel Brooks, ancien colonel de l’armée américaine et directeur du service fédéral, Optiv Security
Et de nombreux professionnels de la cybersécurité et de l’informatique ne savent pas exactement ce qu’ils pensent. Environ 75 % des responsables informatiques interrogés par PwC pour son 2022 sondage mondial sur les informations sur la confiance numérique rapportent une complexité trop importante dans leurs technologies, données et environnements d’exploitation, ce qui entrave leur capacité à surveiller les réseaux en temps réel. Un environnement complexe et opaque entrave les efforts des agences pour répondre aux directives fédérales.
L’analyse en temps réel des réseaux et des endpoints, et donc l’amélioration de la détection de sécurité, nécessite plus que de simples organismes pour surveiller les alertes. « Aucun être humain ne peut le faire », déclare Andrew Plato, pionnier de la sécurité et PDG de la société de services professionnels Zenaciti depuis 25 ans. « C’est une tâche absolument impossible pour une personne ou cent. Cela va au-delà des capacités cognitives des humains. »
L’intégration de l’automatisation et de l’intelligence artificielle dans la surveillance peut être utile, avec des logiciels qui peuvent rechercher des modèles de comportement inhabituels et pas seulement des signatures existantes d’attaques et de vulnérabilités connues, puis alerter les personnes du centre des opérations de sécurité d’une organisation.
« Vous devez déployer une technologie et une automatisation qui peuvent analyser en temps réel, fournir une détection, afin que les humains puissent revenir en arrière et la traverser », explique Plato. Cela nécessite toujours suffisamment de personnes pour répondre, ce qui signifie que les agences fédérales doivent s’engager à former, retenir et récompenser les personnes.
2. Consolider les données en plateformes et écosystèmes
Les systèmes existants reposent sur trop de solutions ponctuelles cloisonnées. Ils ne fonctionnent pas toujours bien ensemble ou ne partagent pas la même vue du réseau.
La « multiplication des outils » touche les organisations. Dans une enquête, 55 % des décideurs informatiques ont déclaré utiliser 20 outils ou plus entre la sécurité et les opérations, et 70 % ont déclaré que ces outils n’étaient pas totalement intégrés. Une profusion de solutions ponctuelles faiblement couplées crée des coûts et une complexité supplémentaires qui finissent par entraver la capacité d’une organisation à détecter les violations et à y répondre.
Les organisations doivent unifier les opérations de base et les capacités de sécurité de l’équipe au sein d’une plateforme unique. Cette plateforme doit donner à chaque membre de l’équipe la même vue complète et en temps réel de son environnement et étendre ses fonctionnalités à travers un écosystème de solutions rationalisées qui fonctionnent bien les unes avec les autres.
Une norme fédérale, Managing Information Security Risk (NIST SP 800-39), nécessite « un programme intégré à l’échelle de l’organisation pour gérer les risques de sécurité de l’information pour les opérations organisationnelles... les actifs organisationnels, les personnes, les autres organisations et le pays résultant de l’exploitation et de l’utilisation des systèmes d’information fédéraux. » Une gestion efficace des risques, dit-elle, nécessite un large champ d’application, en tenant compte de trois niveaux de risque : la mission et les stratégies d’une organisation, ses processus commerciaux et ses systèmes informatiques individuels.
En consolidant leurs outils ponctuels en plateformes et en créant des écosystèmes interopérables, les équipes peuvent réduire le nombre d’outils dont elles ont besoin, réduisant ainsi leurs coûts, leur complexité et leurs risques. Ils peuvent également réduire le nombre d’interfaces qu’ils utilisent pour leurs fonctions de sécurité et minimiser la complexité, les frais généraux et les frictions entre les équipes qui doivent travailler ensemble pour sécuriser l’organisation. Au cours de ce processus, ils créent une source unique et complète de vérité sur leur réseau, améliorent l’utilisation et l’efficacité de leurs outils et augmentent le retour sur leurs investissements.
3. Intégrez Zero Trust à l’ensemble de l’infrastructure informatique
Enfin, les organisations doivent mettre en place une stratégie Zero Trust, peut-être l’aspect le plus difficile des directives fédérales. « La confiance zéro n’est pas seulement une technologie », déclare Plato chez Zenaciti. « Vous ne pouvez pas prendre une architecture ancienne et lui donner une confiance zéro, vous cassez tout », dit-il. « Ce n’est pas quelque chose que l’équipe la mieux rémunérée de Google va faire dans 90 jours. »
« Vous ne pouvez pas prendre une architecture ancienne et lui donner une confiance zéro, vous brisez tout. »Andrew Plato, PDG de Zenaciti
Le Zero Trust est une architecture et une manière entièrement nouvelles de gérer l’infrastructure informatique. « Vous ne pouvez pas simplement acheter un produit Zero Trust », déclare Plato. Vous devez intégrer l’approche dans tout, le tout dans un environnement dans lequel les agences ne se coordonnent pas nécessairement bien et insistent sur « leurs propres intégrateurs de systèmes et leurs propres plateformes ».
La plupart des organisations qui excellent à zéro confiance réalisent finalement qu’il ne s’agit pas d’un état de perfection. La sécurité est plutôt une destination. C’est un processus. C’est quelque chose auquel il faut aspirer.
Mais c’est quelque chose que le gouvernement peut accomplir. « La raison pour laquelle je pense que le décret a une grande chance de se produire est qu’il est largement dans le domaine qu’ils contrôlent », déclare Eric Noonan, PDG de CyberSheath Services et ancien RSSI de BAE Systems. « Cela n’innove pas en matière de droit. »
Noonan affirme que les directives peuvent ne pas se produire sur le calendrier absolu de l’administration. Au lieu de cela, « ils sont tous destinés à faire avancer la balle », dit-il.
En fin de compte, les agences qui agissent avec urgence pour mettre en place les bons systèmes et stratégies s’efforceront bien mieux de tenir les malfaiteurs éloignés des systèmes et données sensibles du gouvernement.
