Tim Roemer — responsable de la sécurité des systèmes d'information (RSSI) de l'Arizona et directeur du Département de la sécurité intérieure de l'Arizona — doit résoudre un grand nombre de problèmes.
Il doit protéger l'État contre les cyberattaques menées par les armées nationales.
Il doit se prémunir contre une vaste surface d'attaque comportant des vulnérabilités toujours plus nombreuses.
Et il doit le faire au sein d'un ensemble complexe et fragmenté d'organismes et d'institutions.
Sa solution ? Mettre en œuvre une stratégie à l'échelle de l'État intitulée « » (s'ouvre dans un nouvel onglet) dans tout l'Arizona.
Voici l'histoire de Roemer.
https://youtu.be/D6yZF506WeM
La cybersécurité relève de la sécurité intérieure
Roemer a débuté sa carrière par « un stage vraiment intéressant » à la CIA. Il était passionné par la lutte contre le terrorisme et a passé 10 ans au sein de l'agence.
Au cours des deux dernières années de son mandat, il a présenté des rapports sur la situation en matière de sécurité nationale au président, au vice-président et au Conseil national de sécurité. Ces réunions lui ont permis de prendre conscience de la réalité des cyberattaques menées par des États-nations et de l'importance de la cybersécurité.
Roemer a quitté la CIA et est retourné dans son État d'origine, l'Arizona. « Je souhaitais m’occuper des problèmes de sécurité qui touchaient mes amis et ma famille, ici même, près de chez moi », explique-t-il.
Il a d'abord occupé le poste de directeur adjoint du Département de la sécurité intérieure de l'Arizona, avant d'être nommé responsable de la sécurité des systèmes d'information (RSSI) de l'État et directeur du Département de la sécurité intérieure de l'Arizona.
Lorsqu'il a pris ses fonctions, M. Roemer s'est vu confier par le gouverneur de l'Arizona, Doug Ducey, la mission de développer la cybersécurité à l'échelle de l'État et de l'intégrer au ministère de la Sécurité intérieure. « Il m’a dit : “La cybersécurité, c’est la sécurité intérieure” », explique M. Roemer.
Voici comment M. Roemer s'y est pris et ce qu'il en a retiré.
« En matière de cybersécurité au niveau régional et local, on attend de nous que nous tenions tête aux armées nationales du monde entier, qui disposent de ressources illimitées — toute la journée, tous les jours. »
Mener un combat sans frontières
Pourquoi la cybersécurité est-elle importante pour des États comme l'Arizona ?
À certains égards, les responsables de la cybersécurité en Arizona sont désavantagés, et ils doivent répondre à des attentes bien différentes de celles des responsables de la sécurité physique.
« On n'attend en aucun cas de l'État de l'Arizona qu'il défende notre frontière physique contre un État-nation », explique-t-il. « Si la Russie tentait réellement d’envahir la frontière sud de l’Arizona, je ne pense pas que les gens s’attendraient à ce que nous soyons capables de les repousser. »
C'est tout le contraire qui vaut pour les efforts de l'État en matière de cybersécurité.
« En matière de cybersécurité, on attend de nous que nous tenions tête à l’armée russe, mais aussi à celle de la Chine, de la Corée du Nord, de l’Iran, et j’en passe », déclare M. Roemer.
Cela engendre des contraintes d'une nature fondamentalement différente pour Roemer et ses équipes.
« C’est pourquoi la cybersécurité revêt une telle importance à l’heure actuelle : parce qu’elle ne connaît pas de frontières », explique-t-il. « Des personnes peuvent vous attaquer en mobilisant des ressources illimitées provenant du monde entier, et vous devez vous défendre contre tout cela — toute la journée, tous les jours. »
Pour répondre à ces attentes — et pour protéger son État contre un large éventail d'agresseurs internationaux disposant de moyens financiers considérables —, Roemer devait prendre une mesure audacieuse.
Voici ce qu'il a fait.
Mettre en place une stratégie de cybersécurité à l'échelle de l'État en Arizona
Le gouverneur de l'Arizona, M. Ducey, n'a pas nommé M. Roemer simplement pour veiller à ce que tout se passe bien. Il a chargé M. Roemer de réformer l'approche de l'État en matière de cybersécurité.
« Le gouverneur m'a nommé pour rompre avec le statu quo et innover », explique Roemer. Et ce processus a débuté par une évaluation honnête de la situation actuelle.
« Je suis fermement convaincu qu’il faut connaître ses points forts et ses points faibles », déclare-t-il. « Vous pouvez miser sur vos points forts, mais vos adversaires s’attaquent à vos points faibles — et je savais que nous avions des faiblesses et des vulnérabilités qu’ils pouvaient exploiter. »
Comme presque tous les États, l'Arizona avait une approche fragmentée en matière de cybersécurité. Chaque organisme et chaque institution utilisait ses propres procédures et outils ; les bonnes pratiques mises en place au niveau régional ne parvenaient pas jusqu'au niveau local, et la communication faisait cruellement défaut.
Heureusement, Roemer avait une solution.
« J’ai constaté que la mise en œuvre d’une approche à l’échelle de l’État, telle que celle décrite sur , serait bénéfique pour tout le monde », explique-t-il. « Si les responsables régionaux et locaux pouvaient “s’associer”, se rassembler et commencer à partager leurs ressources, leurs informations et leurs bonnes pratiques, nous serions alors mieux armés. »
L'approche « à l'échelle de l'État » est une stratégie de sécurité émergente (s'ouvre dans un nouvel onglet). Dans ce cadre, les responsables à tous les niveaux de l'administration d'un État collaborent sur les questions de sécurité. Cette stratégie poursuit de nombreux objectifs, mais pour Roemer, la réussite du programme tenait essentiellement à un seul élément : renforcer l'esprit d'équipe.
« La cybersécurité est un problème complexe, et personne ne détient toutes les réponses », déclare-t-il. « L’approche à l’échelle de l’État est importante, car elle repose sur le travail d’équipe. » « Il s’agit de collaborer et de rassembler les gentils pour lutter contre les méchants. »
Voici comment Roemer a donné vie à l'approche « à l'échelle de l'État » en Arizona.
Concrétiser l'approche à l'échelle de l'État : se concentrer sur quatre éléments clés
M. Roemer a mis en place un programme couronné de succès à l'échelle de l'État en s'appuyant sur quatre axes.
1. Adoptez une approche souple et axée sur le long terme
« La cybersécurité à l'échelle de l'État — et la cybersécurité en général — est un travail en cours. » Nous luttons contre une menace en constante évolution, qui change de jour en jour. « C'est justement au moment où l'on croit avoir tout compris que l'on va en prendre plein la figure », déclare Roemer.
2. Tissez des liens avant d'en avoir besoin
« Vous devez sortir de votre bureau. » Vous devez rencontrer des gens et instaurer un climat de confiance et de collaboration suffisant pour amener davantage de personnes à se joindre à vous — et vous devez le faire au plus vite. Dans notre milieu, on dit toujours : « On ne distribue pas de cartes de visite en cas d'urgence. » « À ce moment-là, il est trop tard », déclare M. Roemer.
3. Déterminez le financement
« Il vous faut un programme de subventions. » « Heureusement, le gouverneur Ducey a pris conscience des défis auxquels nous étions confrontés en matière de cybersécurité, et nous avons débloqué 10 millions de dollars par an pour aider les districts scolaires, les tribus, les municipalités et les conseils de comté, ainsi que tous les autres acteurs, à renforcer leur cyber-résilience », explique M. Roemer.
4. Faites de la gouvernance une priorité absolue
« Nous disposons d'un groupe de travail sur les subventions en matière de cybersécurité qui fonctionne dans les deux sens. » Nous sommes à l'écoute des habitants pour connaître leurs besoins, nous leur proposons des solutions et nous trouvons les moyens de les mettre en œuvre. « Notre commission et notre groupe de travail parcourent l'État pour mener ces discussions, pour associer les bons outils aux bonnes organisations et pour s'assurer que ces outils fonctionnent », explique M. Roemer.
Objectifs et résultats à l'échelle de l'État de l'Arizona
M. Roemer suit de près son programme à l'échelle de l'État et en évalue le succès à l'aune d'une série d'objectifs et de résultats clés. Ceux-ci comprennent :
- Aucun incident n' été signalé. « Ce que je souhaite vraiment mettre en avant, c’est qu’aucun incident de cybersécurité n’ait réussi à affecter nos collectivités locales. »
- permettant une remise en état plus rapide. « Nous souhaitons renforcer notre capacité à identifier et à corriger nos vulnérabilités. »
- d'amélioration mesurable. « Nous souhaitons nous appuyer sur des indicateurs pour illustrer la manière dont nous aidons les organisations à renforcer leur sécurité par rapport à auparavant. »
- de pleine utilisation. « Nous espérons que les collectivités locales dépenseront chaque dollar que l'État nous a alloué. »
- Pour plus d's sur les financements. « Mon objectif est de commencer avec ces 10 millions de dollars, de prouver l'efficacité de cette initiative, de démontrer que nous obtenons un bon retour sur investissement, puis de plaider en faveur d'un financement supplémentaire. »
Le programme mis en place à l'échelle de l'État de l'Arizona a d'ores et déjà généré des avantages significatifs, notamment en matière de partage d'informations entre les différents niveaux de pouvoir.
« Je ne peux pas protéger les données de 7,5 millions d'Arizoniens contre un pirate dont j'ignore l'existence », déclare M. Roemer. « Mais grâce à cette approche à l'échelle de l'État, nous partageons désormais des informations en temps réel. » « Je suis plus efficace en tant que RSSI, car je sais ce que les autres constatent, et les collectivités locales se protègent mieux contre les attaques que nous observons au niveau régional. »
Enseignements tirés : la nécessité d'une stratégie et d'une communication claires
La mise en place d'un programme à l'échelle de l'État a été pour Roemer une expérience d'apprentissage quotidien.
« J’ai simplement essayé d’être comme une éponge et d’apprendre tout ce que je pouvais », dit-il.
Pourtant, deux enseignements majeurs ressortent pour Roemer.
«Il faut créer un esprit de camaraderie au sein de l’équipe », explique-t-il. « Le domaine de la cybersécurité est actuellement un secteur où il est très stressant de travailler, et les défis qu’il pose sont extrêmement difficiles. » « Il est essentiel de veiller à ce que l'ensemble de l'équipe à l'échelle de l'État comprenne pourquoi nous agissons ainsi, quels sont les enjeux et comment nous allons lutter contre les menaces qui pèsent sur nous. »
Pour Roemer, la mise en place de ce véritable travail d'équipe repose sur un seul élément : la communication.
«Il faut communiquer efficacement en quoi consiste la stratégie », déclare-t-il. « Nous avons constaté que chaque fois qu’une personne ne soutenait pas ce programme, c’était parce qu’elle ne savait pas qui nous sommes, ce que nous faisons, pourquoi nous le faisons, comment nous le faisons et quels outils nous mettons à sa disposition. »
En fin de compte, ces deux enseignements vont de pair.
« Lorsque tout le monde connaît votre stratégie — et que vous la communiquez efficacement —, les parties prenantes se mobilisent très rapidement, et nous établissons de solides partenariats qui renforcent notre sécurité », explique M. Roemer.
Voici la première partie de notre entretien avec Tim Roemer, responsable de la sécurité des systèmes d'information (RSSI) de l'Arizona et directeur du Département de la sécurité intérieure de cet État. Dans la partie 2, nous examinerons plus en détail le programme mis en place à l'échelle de l'État de l'Arizona, notamment la manière dont les informations sont partagées via un centre de commandement centralisé et comment ce programme a permis d'améliorer la gestion des incidents.
