Tim Roemer, le RSSI de l’Arizona et directeur du Département de la sécurité intérieure de l’Arizona, doit résoudre un grand nombre de problèmes.
Il doit protéger l’État contre les cyberattaques des militaires nationaux.
Il doit se défendre contre une grande surface d’attaque remplie de vulnérabilités toujours croissantes.
Et il doit le faire à travers un ensemble complexe et fragmenté d’agences et d’institutions.
Sa solution ? Mettre en œuvre une stratégie à l’échelle de l’ensemble de l’État en Arizona.
Voici l’histoire de Roemer.
https://youtu.be/D6yZF506WeM
La cybersécurité est la sécurité intérieure
Roemer a commencé sa carrière par « un très bon stage » auprès de la CIA. Il était passionné par la lutte contre le terrorisme et a passé 10 ans au sein de l’agence.
Au cours des deux dernières années de son mandat, il a donné des mises à jour sur la sécurité nationale au président, au vice-président et au conseil national de sécurité. Ces réunions l’ont exposé à la réalité des cyberattaques nationales et à l’importance de la cybersécurité.
Roemer a quitté la CIA et est retourné dans son État d’origine, l’Arizona. « Je voulais travailler sur des problèmes de sécurité qui affectaient mes amis et ma famille dans mon propre jardin », explique-t-il.
Il a d’abord travaillé comme directeur adjoint du Département de la sécurité intérieure de l’Arizona et a finalement été nommé RSSI de l’État et directeur du Département de la sécurité intérieure de l’Arizona.
Lorsqu’il a assumé ces rôles, Roemer a reçu un mandat du gouverneur de l’Arizona, Doug Ducey, qui a élargi la cybersécurité à l’échelle de l’État et l’a intégrée au Département de la sécurité intérieure. « Il m’a dit : « La cybersécurité est la sécurité intérieure », déclare Roemer.
Voici comment Roemer a fait cela, et ce qu’il a appris en cours de route.
« Dans le domaine de la cybersécurité nationale et locale, nous sommes censés retenir les forces armées nationales avec des ressources illimitées du monde entier, toute la journée, tous les jours. »
Lutter contre une bataille sans frontières
Pourquoi la cybersécurité est importante pour des États comme l’Arizona
D’une certaine manière, la plateforme est empilée contre les leaders de la cybersécurité de l’Arizona, et ils doivent répondre à un ensemble d’attentes bien différent des leaders de la sécurité physique.
« L’État de l’Arizona n’est en aucun cas censé défendre notre frontière physique contre un État-nation », explique-t-il. « Si la Russie essayait physiquement d’envahir la frontière sud de l’Arizona, je ne pense pas que les gens s’attendent à ce que nous puissions les retenir. »
Le contraire est vrai pour les efforts de cybersécurité de l’État.
« Dans le domaine de la cybersécurité, nous sommes censés repousser l’armée russe, ainsi que les Chinois, les Coréens du Nord, les Iraniens, vous le nommez », déclare Roemer.
Cela crée un ensemble fondamentalement différent de pressions pour Roemer et ses équipes.
« C’est pourquoi la cybersécurité est si importante en ce moment, car elle n’a pas de frontières », explique-t-il. « Les gens peuvent vous attaquer avec des ressources illimitées du monde entier, et vous devez vous défendre contre tout cela, toute la journée, tous les jours. »
Pour répondre à ces attentes et sécuriser son État contre un large éventail d’attaquants mondiaux bien financés, Roemer devait faire un pas audacieux.
Voici ce qu’il a fait.
Apporter une stratégie de cybersécurité « à l’ensemble de l’État » en Arizona
Le gouverneur de l’Arizona Ducey n’a pas nommé Roemer pour garder les trains sur les rails. Il a nommé Roemer pour transformer la manière dont l’État a abordé la cybersécurité.
« Le gouverneur m’a nommé pour briser le statu quo et essayer de nouvelles choses », explique Roemer. Et ce processus a commencé par une évaluation honnête des affaires actuelles.
« Je suis convaincu que vous devez connaître vos forces et vos faiblesses », dit-il. « Vous pouvez exploiter vos forces, mais vos adversaires s’attaquent à vos faiblesses, et je savais que nous avions des faiblesses et des vulnérabilités qu’ils pourraient exploiter. »
Comme presque tous les États, l’Arizona avait une approche fragmentée de la cybersécurité. Chaque agence et institution a utilisé ses propres processus et outils, et les meilleures pratiques établies au niveau de l’État n’atteignaient pas le niveau local, et personne n’a communiqué suffisamment.
Heureusement, Roemer avait une solution.
« J’ai vu que la mise en œuvre d’une approche globale aiderait tout le monde », explique-t-il. « Si les dirigeants étatiques et locaux pouvaient « accompagner », se réunir et commencer à partager des ressources, des informations et des meilleures pratiques, alors nous serions dans une meilleure position. »
L’ensemble de l’État est une stratégie de sécurité émergente. De là, les dirigeants à tous les niveaux du gouvernement d’un État collaborent autour des problèmes de sécurité. La stratégie a de nombreux objectifs, mais pour Roemer, un programme réussi s’est traduit par une chose : l’augmentation du travail d’équipe.
« La cybersécurité est un problème complexe, et personne n’a toutes les réponses », dit-il. « L’état général est important car il s’agit de travail d’équipe. Il s’agit de collaborer et de rassembler les bons pour lutter contre les mauvais. »
Voici comment Roemer a donné vie à l’ensemble de l’État en Arizona.
Rendre l’ensemble de l’état réel : Se concentrer sur quatre éléments clés
Roemer a créé un programme complet réussi en se concentrant sur quatre éléments.
1. Adopter un état d’esprit flexible et à long terme
« L’ensemble de l’état, et la cybersécurité en général, est un travail en cours. Nous luttons contre une menace en constante évolution, qui change chaque jour. Le moment où nous pensons avoir tout compris est le moment où nous allons être touchés », déclare Roemer.
2. Établir des relations avant d’en avoir besoin
« Vous devez sortir de votre bureau. Vous devez rencontrer des personnes et développer suffisamment de confiance et de collaboration pour amener plus de personnes à la table, et vous devez le faire dès que possible. Nous disons toujours dans notre domaine : « Vous ne pouvez pas distribuer de cartes de visite en cas d’urgence. À ce moment-là, il est trop tard », déclare Roemer.
3. Déterminer le financement
« Vous avez besoin d’un programme de subvention. Heureusement, le gouverneur Ducey a vu ce que nous avions à faire en matière de cybersécurité, et nous avons obtenu 10 millions de dollars par an pour aider les districts scolaires, les tribus, les gouvernements des villes et des comtés, et tous les autres à développer la cyberrésilience », déclare Roemer.
4. Garder la gouvernance à l’esprit
« Nous disposons d’un groupe de travail de cyber-subvention qui est une voie à double sens. Nous écoutons les locaux sur leurs besoins, nous leur fournissons des solutions et nous trouvons des moyens de mettre en œuvre ces solutions. Notre comité et notre groupe de travail parcourent l’État pour avoir ces conversations, pour associer les bons outils aux bonnes organisations et pour s’assurer que ces outils fonctionnent », déclare Roemer.
Les objectifs et résultats de l’ensemble de l’État de l’Arizona
Roemer regarde attentivement son programme dans tout l’État et évalue son succès par rapport à quelques objectifs et résultats critiques. Parmi ces derniers figurent :
- Aucun incident. « Ce que je veux vraiment montrer, c’est zéro incident de cybersécurité réussi contre nos gouvernements locaux. »
- Remédiation plus rapide. « Nous voulons accélérer notre capacité à identifier et à remédier à nos vulnérabilités. »
- Amélioration mesurable. « Nous voulons utiliser des mesures pour dresser un tableau de la manière dont nous aidons les organisations à mieux se sécuriser qu’auparavant. »
- Utilisation complète. « Nous espérons que les gouvernements locaux dépenseront chaque dollar que l’État nous a donné. »
- Plus de financement. « Mon objectif est de commencer par les 10 millions de dollars, de prouver qu’il est efficace, de montrer que nous obtenons un bon retour sur investissement, puis de plaider pour plus de financement. »
Déjà, le programme de l’ensemble de l’État de l’Arizona a généré des avantages significatifs, en particulier lorsqu’il s’agit de partager des informations à différents niveaux du gouvernement.
« Je ne peux pas protéger 7,5 millions de données de l’Arizonan contre un attaquant que je ne connais pas », déclare Roemer. « Mais avec l’ensemble de l’état, nous partageons désormais des informations en temps réel. Je suis plus fort en tant que RSSI car je sais ce que les autres voient, et les locaux se protègent mieux contre les attaques que nous voyons au niveau de l’État. »
Leçons apprises : la nécessité d’une stratégie et d’une communication claires
L’élaboration d’un programme à l’échelle de l’État a été une expérience d’apprentissage quotidienne pour Roemer.
« Je viens d’essayer d’être une éponge et d’apprendre tout ce que je peux », dit-il.
Pourtant, deux grandes leçons se démarquent pour Roemer.
« Vous devez créer de la camaraderie au sein de l’équipe », explique-t-il. « La cybersécurité est un domaine très stressant dans lequel travailler en ce moment, et ses défis sont extrêmement difficiles. Il est essentiel de s’assurer que toute l’équipe de l’ensemble de l’État sait pourquoi nous le faisons, ce qui est en jeu et comment nous allons lutter contre nos menaces. »
Pour Roemer, construire ce véritable effort d’équipe dépend d’une chose : la communication.
« Vous devez communiquer efficacement sur la stratégie », dit-il. « Nous avons constaté que chaque fois qu’une personne ne soutenait pas ce programme, c’est parce qu’elle ne savait pas qui nous sommes, ce que nous faisons, pourquoi nous le faisons, comment nous le faisons et quels outils nous leur donnons. »
En fin de compte, les deux leçons vont de pair.
« Lorsque tout le monde connaît votre stratégie, et que vous la communiquez efficacement, ils arrivent très rapidement à la table, et nous construisons de bons partenariats qui nous protègent », déclare Roemer.
Il s’agit de la première partie de notre entretien avec Tim Roemer, le RSSI de l’Arizona et directeur du Département de la sécurité intérieure de l’État. Dans la partie 2, nous explorerons plus en détail le programme de l’ensemble de l’État de l’Arizona, y compris la manière dont ils partagent les informations via un centre de commande central et la manière dont leur programme a amélioré la réponse aux incidents.
