Charles Denyer a travaillé pour le ministère de la Défense ainsi que pour 17 agences de renseignement américaines et internationales, soit directement, soit en tant que consultant, pendant la majeure partie de sa carrière professionnelle.
C'est pourquoi il se montre sceptique face aux récentes directives fédérales de l' ordonnant aux agences américaines de corriger immédiatement les failles logicielles connues, telles que la récente faille de sécurité de l'open source Log4j. Ces directives exigent que les correctifs soient appliqués en l'espace de quelques semaines ou de quelques mois.
M. Denyer, qui conseille les dirigeants d'entreprise en matière de cybersécurité, de bonnes pratiques de cyberhygiène et de conformité, affirme que les agences fédérales « sont plus difficiles [que les entreprises privées] à mettre en conformité et à gérer ». « Le processus d’approbation des outils et solutions de sécurité, ainsi que celui de leur mise en œuvre, est d’une lenteur exaspérante et extrêmement bureaucratique. »
Pour aggraver encore ces difficultés, les agences fédérales sont confrontées à une fuite des cerveaux dans le domaine de la cybersécurité, leurs meilleurs éléments partant vers des postes mieux rémunérés dans le secteur privé. (Selon une estimation, 36 000 postes liés à la cybersécurité dans le secteur public restent à pourvoir, dont 1 700 au sein du seul ministère de la Sécurité intérieure.) Cela signifie qu'il y a moins d'experts pour gérer l'infrastructure réseau complexe du gouvernement et les outils ainsi que les systèmes hérités, souvent s et obsolètes. Depuis des années, les organismes de surveillance attribuent des notes insuffisantes à ces systèmes.
« Je ne suis pas sûr que les dirigeants saisissent bien le problème », déclare Nichoel Brooks, directeur du service fédéral au sein du cabinet de conseil Optiv Security et ancien colonel de l'armée américaine qui a dirigé la modernisation des services de renseignement. « Tout repose sur la visualisation de ce problème. » « Il en résulte, pour les agences fédérales, un effectif insuffisant pour mener à bien toutes les tâches, même dans les meilleures circonstances. »
Alors que les agences réorganisent leurs stratégies de recrutement et simplifient leurs infrastructures technologiques, elles peuvent dès à présent mettre en œuvre trois mesures de cyberhygiène afin d’améliorer leur visibilité et de sécuriser leurs réseaux.
1. Veillez à pouvoir surveiller et analyser l'ensemble de l'environnement informatique
Chaque organisme fédéral est unique. Mais ils ont tous le même talon d'Achille : un environnement informatique hétérogène, composé de systèmes anciens et nouveaux, répartis entre des plateformes sur site et dans le cloud. De plus, le nombre de terminaux non gérés a explosé parallèlement à la transition massive vers le télétravail. Cela a, à son tour, nui à la visibilité du réseau. Après tout, il est impossible de gérer et de protéger ce que les organisations ne peuvent pas voir.
«Les agences fédérales [disposent] d’effectifs insuffisants pour mener à bien toutes leurs missions, même dans les meilleures circonstances. »Nichoel Brooks, ancien colonel de l'armée américaine et directeur des services fédéraux chez Optiv Security
Et de nombreux professionnels de la cybersécurité et de l'informatique avancent à l'aveuglette. Environ 75 % des responsables informatiques interrogés par PwC dans le cadre de son enquête mondiale « Global Digital Trust Insights » 2022 signalent une complexité excessive de leurs environnements technologiques, de leurs données et de leurs infrastructures opérationnelles, ce qui entrave leur capacité à surveiller les réseaux en temps réel. Un environnement complexe et opaque entrave les efforts déployés par l'agence pour se conformer aux directives fédérales.
L'analyse en temps réel des réseaux et des terminaux, et donc une meilleure détection des menaces, nécessite davantage que de simples personnes chargées de surveiller les alertes. « Aucun être humain n’est capable d’en faire autant », déclare Andrew Plato, pionnier de la sécurité depuis 25 ans et PDG de la société de services professionnels Zenaciti. « C'est une tâche tout à fait impossible, que ce soit pour une seule personne ou pour une centaine. » « Cela dépasse les capacités cognitives des êtres humains. »
L’intégration de l’automatisation et de l’intelligence artificielle dans la surveillance des « s » peut s’avérer utile : grâce à des logiciels capables de détecter des schémas de comportement inhabituels, et non plus uniquement les signatures existantes d’attaques et de vulnérabilités connues, il est alors possible d’alerter le personnel du centre des opérations de sécurité d’une organisation.
« Il faut mettre en place des technologies et des systèmes d’automatisation capables d’analyser les données en temps réel et d’assurer la détection, afin que les humains puissent ensuite revenir en arrière et examiner les résultats », explique Plato. Cela nécessite toutefois qu'un nombre suffisant de personnes se portent volontaires, ce qui implique que les agences fédérales doivent s'engager à former, à fidéliser et à récompenser ces personnes.
2. Regrouper les données au sein de plateformes et d'écosystèmes
Les systèmes hérités s'appuient sur un trop grand nombre de solutions ponctuelles cloisonnées. Ils ne travaillent pas toujours bien ensemble et n'ont pas toujours la même vision du réseau.
«La prolifération des outils » est un véritable fléau pour les organisations. Dans une enquête, 55 % des décideurs informatiques ont déclaré utiliser 20 outils ou plus dans les domaines de la sécurité et des opérations, et 70 % ont indiqué que ces outils ne bénéficiaient pas d'une intégration complète. La multiplication des solutions ponctuelles d’ , faiblement interconnectées , engendre des coûts et une complexité supplémentaires qui finissent par entraver la capacité d’une organisation à détecter les violations de sécurité et à y répondre.
Les organisations doivent regrouper les opérations essentielles et les capacités de sécurité de leur équipe au sein d'une plateforme unique. Cette plateforme doit offrir à chaque membre de l'équipe la même vue d'ensemble complète et en temps réel de son environnement, et étendre ses fonctionnalités grâce à un écosystème de solutions optimisées qui s'intègrent parfaitement les unes aux autres.
Une norme fédérale, intitulée « : Managing Information Security Risk » ( , NIST SP 800-39), exige « un programme intégré à l’échelle de l’organisation visant à gérer les risques liés à la sécurité de l’information pesant sur les opérations de l’organisation… ses actifs, ses collaborateurs, d’autres organisations et la nation, résultant de l’exploitation et de l’utilisation des systèmes d’information fédéraux ». Selon ce document, une gestion efficace des risques doit avoir une portée étendue et prendre en compte trois niveaux de risque : la mission et les stratégies d’une organisation, ses processus métier et ses différents systèmes informatiques.
En regroupant leurs outils spécialisés au sein de plateformes et en mettant en place des écosystèmes interopérables, les équipes peuvent réduire le nombre d'outils dont elles ont besoin, ce qui leur permet de diminuer leurs coûts, la complexité et les risques. Ils peuvent également réduire le nombre d'interfaces utilisées pour leurs fonctions de sécurité et minimiser la complexité, la charge administrative et les frictions entre les équipes qui doivent collaborer pour assurer la sécurité de l'organisation. Ce faisant, ils se dotent d'une source unique et exhaustive d'informations fiables sur leur réseau, améliorent l'utilisation et l'efficacité de leurs outils, et augmentent le retour sur investissement.
3. Intégrer le modèle « zero trust » à l'ensemble de l'infrastructure informatique
Enfin, les organisations doivent mettre en place une stratégie « zero-trust » , ce qui constitue sans doute l'aspect le plus difficile des directives fédérales. « Le modèle “zero trust” n’est pas seulement une technologie », affirme Platon, de Zenaciti. « On ne peut pas simplement appliquer le modèle “zero trust” à une architecture héritée : cela mettrait tout hors service », explique-t-il. « Ce n’est pas quelque chose que l’équipe la mieux rémunérée de Google va réussir à faire en 90 jours. »
«On ne peut pas simplement appliquer le modèle « zero trust » à une architecture héritée : cela ferait tout capoter. »Andrew Plato, PDG de Zenaciti
Le « Zero Trust » est une architecture entièrement nouvelle et une nouvelle approche de la gestion de l'infrastructure informatique. « On ne peut pas se contenter d'acheter un produit « zero-trust », affirme Plato. » Il faut intégrer cette approche à tous les niveaux, et ce dans un contexte où les agences ne se coordonnent pas forcément bien et tiennent à recourir à « leurs propres intégrateurs de systèmes et leurs propres plateformes ».
La plupart des organisations qui excellent dans l'approche « zero trust » finissent par se rendre compte qu'il ne s'agit pas d'un état de perfection. La sécurité est plutôt un objectif à atteindre. C'est un processus. C'est un objectif auquel il faut aspirer.
Mais c'est quelque chose que le gouvernement est en mesure de réaliser. « La raison pour laquelle je pense que ce décret présidentiel a de grandes chances d’aboutir, c’est qu’il relève en grande partie de leur sphère d’influence », explique Eric Noonan, PDG de CyberSheath Services et ancien responsable de la sécurité des systèmes d’information chez BAE Systems. « Cela n'apporte rien de nouveau sur le plan juridique. »
M. Noonan indique que ces directives pourraient ne pas être mises en œuvre dans les délais fixés par l'administration. Au contraire, « elles visent toutes à faire avancer les choses », explique-t-il.
En fin de compte, les administrations qui agissent sans tarder pour mettre en place les systèmes et les stratégies adéquats seront bien mieux à même d'empêcher les malfaiteurs d'accéder aux systèmes et aux données sensibles de l'État.
