Si vous posiez la question suivante : « Qu'est-ce que la cybersécurité à l'échelle de l'État ? » Il y a quelques années à peine, la réaction la plus courante aurait été un regard perplexe.
Aujourd'hui, cette question retient beaucoup plus l'attention, maintenant que les collectivités territoriales et locales sont sous pression.
Les cyberattaques visant le secteur public ont bondi de 95 % à l'échelle mondiale au cours du second semestre de 2022 par rapport à la même période de 2021. L' des ransomwares est virulente : 58 % des organismes publics au niveau des États et des collectivités locales ont été victimes d'un ransomware en 2021, soit une augmentation de 70 % par rapport à l'année précédente. Et les coûts montent en flèche : pour les collectivités locales, le coût « » lié à la résolution d’une attaque par ransomware, incluant les dépenses liées aux ressources, aux temps d’arrêt, aux opportunités manquées et à la rançon versée , s’élevait en moyenne à 1,64 millions de dollars par attaque en 2021.
Peu de juridictions disposent à elles seules de ressources suffisantes pour lutter contre ce niveau sans précédent de cybercriminalité. C'est pourquoi de nombreux États, communes et districts scolaires de la maternelle à la terminale s'unissent aujourd'hui et mettent leurs ressources en commun afin de mieux se prémunir contre cette vague croissante de menaces communes. Les stratégies qu'ils mettent en œuvre sont désignées sous l'appellation collective d'« approche à l'échelle de l'État ».
Qu'entend-on exactement par « cybersécurité à l'échelle de l'État » ?
La cybersécurité à l'échelle de l'État est une approche dans le cadre de laquelle les gouvernements des États collaborent avec les communes, les établissements d'enseignement, les entités tribales et d'autres organismes publics de leur État afin de renforcer leurs cyberdéfenses. Cette initiative met ces entités en relation afin qu’elles puissent élaborer des stratégies communes, échanger des données et des ressources, remédier aux pénuries de main-d’œuvre et obtenir des financements de l’État et du gouvernement fédéral , tout en forgeant une alliance contre les ransomwares, les attaques visant la chaîne d’approvisionnement et d’autres menaces communes en matière de cybersécurité.
«Ils ne travaillent pas ensemble parce que quelqu’un leur impose de le faire — ils travaillent ensemble parce qu’ils l’ont choisi. »Jennifer Pittman-Leeper, responsable de la stratégie à l'échelle de l'État, chez Tanium
« Ils ne travaillent pas ensemble parce que quelqu’un leur impose de le faire : ils travaillent ensemble parce qu’ils en ont décidé ainsi », explique Jennifer Pittman-Leeper, stratège chargée des questions à l’échelle de l’État au sein de la société de gestion de la cybersécurité Tanium. Selon elle, les entités publiques qui ne s'unissent pas alors qu'elles sont confrontées aux mêmes cybermenaces passent à côté d'une formidable opportunité.
Comment mettre en place une stratégie de cybersécurité à l'échelle de l'État
L'initiative visant à entamer une collaboration peut émaner de pratiquement n'importe quel niveau de pouvoir, mais il faut un soutien tant de la base que de la direction pour mettre en place une plateforme à l'échelle de l'État.
« N'importe qui peut commencer par dire : “Bon, on a besoin d'aide” », explique Pittman-Leeper. « Mais la réussite passe par un soutien au plus haut niveau des pouvoirs publics, y compris de la part des élus, afin de vous permettre de collaborer avec d’autres entités gouvernementales. » Vous devrez également communiquer avec les membres du service informatique. « Chacun doit adhérer à l'idée de travailler ensemble. »
Ces relations devraient être officialisées au sein d'une équipe de cybersécurité indépendante et interorganisationnelle. Ce groupe peut mettre en place un cadre permettant d'organiser régulièrement des réunions avec les parties prenantes, établir un cadre décisionnel et élaborer des politiques efficaces en matière de cybersécurité. Il n'est pas nécessaire de les créer à partir de zéro. Elles peuvent s'inspirer de cadres stratégiques établis, tels que ceux proposés par l' , les National Institutes of Standards and Technology (NIST) ou le Center for Internet Security (CIS) de l' .
Comment financer votre plan de cybersécurité à l'échelle de l'État
Les subventions fédérales et les augmentations de financement à court terme sont utiles pour lancer un plan à l'échelle de l'État. Pour assurer la pérennité d'un programme au-delà de la première année, il faudra probablement puiser dans le fonds général de l'État. Dans les deux cas, M. Pittman-Leeper affirme qu’il est essentiel de parler d’argent dès le départ.
« Ne fuyez pas la discussion sur l'argent », dit-elle. « Sinon, vous allez mettre sur pied quelque chose d’extraordinaire qui ne sera pas viable. »
«C'est un peu comme une surveillance de quartier. » « Lorsque nous participons tous à la surveillance des rues et que nous veillons les uns sur les autres, nous renforçons la sécurité et le bien-être de chacun. »Pittman-Leeper
Éléments à inclure dans un programme électoral à l'échelle de l'État
Une fois que les parties prenantes auront obtenu le soutien nécessaire, défini les grandes orientations et discuté du financement, elles devront élaborer les détails concrets de leur programme à l'échelle de l'État. Pittman-Leeper recommande de s'en tenir à ces quatre principes fondamentaux :
- Partage d'informations —Qu'il s'agisse de renseignements sur les menaces , d'informations sur les menaces, d'indicateurs de compromission ou simplement de mises à jour générales, chaque organisation participante doit être disposée à partager ses données. Les équipes interorganisationnelles et les processus de communication destinés à les soutenir joueront un rôle essentiel.
- Un plan d'intervention en cas d'incident —Un plan efficace d' doit définir les rôles et responsabilités du personnel ainsi que les procédures étape par étape. Et cela doit faire l'objet d'exercices de simulation d'incidents jusqu'à ce que chacun connaisse son rôle. « Chaque seconde compte lors d’un incident cybernétique », déclare Mme Pittman-Leeper. « Plus vous réagissez rapidement, plus vous pouvez limiter les dégâts. »
[À lire également : 5 étapes pour élaborer un plan d'intervention en cas d'incident à toute épreuve]
- Développement de la main-d'œuvre —Les partenariats avec les établissements d'enseignement supérieur et les universités constituent un volet souvent négligé, mais essentiel, des plans à l'échelle de l'État. En proposant des stages, les organismes publics peuvent pallier en partie leurs pénuries de personnel et offrir aux étudiants une expérience concrète dans le domaine des technologies de l'information qui leur donnera un avantage lors de leur entrée sur le marché du travail. Ces partenariats permettent également au secteur public de faire part régulièrement de ses observations aux établissements scolaires. « Il est important », dit-elle, « de leur expliquer quelles compétences leurs élèves devront acquérir pour relever les défis actuels en matière de sécurité. » « Et celui de demain. »
- Ensembles d'outils standardisés —Pour partager des informations entre les différentes administrations, il est indispensable de disposer d'outils de référence. « Si vous mesurez en pieds et que je mesure en mètres, nous allons sans cesse nous méprendre », dit-elle. « Avec un seul outil, c’est un seul ensemble d’instructions qui est transmis à tout le monde. »
Comment assurer la gestion de l'ensemble de l'État sur le long terme
Trois pratiques interdépendantes sont au cœur d'une stratégie à l'échelle de l'État :
- La gouvernance fournit un cadre permettant de prendre des décisions, de mettre en œuvre des outils, ainsi que de suivre et de rendre compte des résultats d'une manière équitable pour tous. « Il y a des gens qui travaillent ensemble pour la première fois », explique Pittman-Leeper. « Vous devez mettre en place des garde-fous. »
- La mise en œuvre constitue la phase d'action de l'approche « à l'échelle de l'État ». C'est là que les responsables informatiques et les ingénieurs mettent en œuvre les politiques de cybersécurité qu'ils ont élaborées auparavant, en s'appuyant sur ces outils et processus standardisés.
- La validation constitue la dernière étape, lorsque vos politiques et pratiques fonctionnent efficacement. Les équipes devraient être en mesure de prouver leur conformité à l'aide des données issues des rapports de sécurité, plutôt que par le biais d'auto-déclarations. Une surveillance en temps réel et un système de rapports complets devraient vous offrir une visibilité globale sur vos forces et vos faiblesses actuelles, afin que vous puissiez rapidement identifier les lacunes et renforcer la posture de sécurité du groupe.
« Toutes les administrations d'un État sont interconnectées ; il est donc tout à fait logique que notre stratégie en matière de cybersécurité repose sur la collaboration », fait remarquer Mme Pittman-Leeper.
« C'est un peu comme une surveillance de quartier », dit-elle. « Lorsque nous participons tous à la surveillance des rues et que nous veillons les uns sur les autres, nous renforçons la sécurité et le bien-être de chacun. »
