Le comté voisin de San Bernardino a dû débourser 1,1 millions de dollars pour remédier à une attaque par rançongiciel qui a visé le service du shérif au début de cette année. Jeff Aguilar, responsable de la sécurité des systèmes d'information (CISO) du comté voisin de Los Angeles, espère éviter qu'un sort similaire ne frappe l'un des 38 services du comté dont il a la charge.
M. Aguilar (à droite), qui a occupé des postes de haut niveau dans le domaine de la sécurité au sein du comté de Los Angeles depuis 2018 et en est devenu le responsable de la sécurité des systèmes d'information (RSSI) l'année dernière, est parfaitement conscient de la vulnérabilité croissante des agences fédérales, étatiques et municipales : les cyberattaques visant le secteur public ont bondi de 40 % au deuxième trimestre de 2023 par rapport à la même période de l'année précédente. Et bien que le comté de Los Angeles ait jusqu’à présent échappé à tout incident majeur, M. Aguilar sait que pour conserver ce bilan, il faudra faire preuve de diligence, de détermination et — c’est là un élément essentiel — d’une communication et d’une coordination constantes avec ses homologues du secteur ainsi qu’avec les agents du comté placés sous sa responsabilité.
Cela contribue, bien sûr, aux efforts de benchmarking menés par son propre service. Et ce n'est pas tout.
En effet, contrairement à de nombreux responsables de la sécurité des systèmes d'information (RSSI), il est fermement convaincu de l'intérêt de partager des informations utiles susceptibles d'aider d'autres administrations publiques à lutter contre les menaces. Cette volonté d'écouter et de partager des points de vue variés découle peut-être de son parcours professionnel varié, qui comprend des expériences dans les domaines suivants : gouvernement, santé, services financiers et transports.
, de Focal Point, s'est entretenu avec M. Aguilar afin d'en savoir plus sur son approche collaborative et sur ce qui fait de lui l'un des principaux responsables de la cybersécurité au sein du gouvernement français.
(L'entretien ci-dessous a été remanié pour des raisons de clarté et de concision.)
À première vue, la structure hiérarchique du comté de Los Angeles – c'est-à-dire qui rend compte à qui – semble, disons, assez complexe.
Nous fonctionnons selon un modèle fédéré : je relève du directeur des systèmes d'information du département. Chaque service fonctionne comme une entité autonome et dispose de son propre directeur informatique et de son propre responsable de la sécurité de l'information. Leur mission consiste à mettre en œuvre les politiques et la stratégie en matière de cybersécurité définies par mon équipe au niveau du conseil d'administration.
J'ai deux adjoints sous mes ordres et je suis en train d'en recruter deux autres. Nous organisons le département en groupes (à des fins opérationnelles), chaque groupe représentant un domaine spécifique de notre activité. Ainsi, par exemple, les soins de santé constituent un secteur d'activité et les forces de l'ordre en constituent un autre. Mes adjoints se chargeront de différents pôles en fonction de leurs compétences et des besoins de ces derniers. Nous définissons les lignes directrices en matière de cybersécurité dans une perspective globale, et les services travaillent dans le respect de ces lignes directrices.
Le district scolaire unifié de Los Angeles et l'Office du logement de Los Angeles ont tous deux récemment été victimes de fuites de données. Lorsque vous constatez ce genre de choses si près de chez vous, cela vous alarme-t-il ?
Oui, toute organisation détenant des données sensibles constitue une cible potentielle.
Je m'entretiens avec de nombreux responsables de la sécurité des systèmes d'information (RSSI) au niveau des collectivités locales et des administrations régionales. Nous partageons sans cesse les enseignements tirés de nos expériences et nous nous demandons : « Qu’est-ce qui a fonctionné, qu’est-ce qui n’a pas fonctionné, et que puis-je reproduire pour ne pas avoir à réinventer la roue ? » Je pense que c'est l'une des choses qui, peut-être, distingue le comté de Los Angeles des autres administrations publiques. Nous encourageons la collaboration « » au sein de l'administration. Il y a de la transparence.
Évidemment, je ne souhaite pas entrer dans les détails de ce que nous faisons précisément. Mais nous avons sans cesse des échanges très enrichissants, notamment sur la stratégie et la gestion des incidents de sécurité informatique , dans une perspective régionale.
Vous supervisez la politique de cybersécurité des services comptant plus de 100 000 collaborateurs. Il suffit qu'un seul de ces services fasse cavalier seul pour que toute une planification soigneusement élaborée parte à vau-l'eau. Comment vous assurez-vous du respect des règles ?
Oui, c'est un défi. Heureusement pour nous, nous faisons l'objet d'un audit interne permanent. Je sais que beaucoup de gens ne considèrent pas les audits comme une source de valeur ajoutée. Mais je le fais, car on ne connaît que ce que l'on connaît, et les audits constituent un excellent moyen de garantir la conformité et d'identifier les lacunes.
«Je sais que beaucoup de gens ne considèrent pas les audits comme une source de valeur ajoutée. » Mais je le fais, car on ne sait que ce que l'on sait, et les audits constituent un excellent moyen de garantir la conformité et d'identifier les lacunes. »
Notre service chargé de ces audits suit donc en quelque sorte une liste de contrôle. Ils vérifient le respect de la politique interne du conseil d'administration. Nous disposons de directives et de normes techniques. Chaque service fait l'objet d'un examen et doit ensuite être validé au regard de ces politiques et directives. C'est un processus en cours. Chaque service est confronté à ce problème plusieurs fois par an. Et puis, de temps à autre, nous assistons également à un audit fédéral.
Lors de nos audits internes, je signale souvent les points où je pense qu’il pourrait y avoir des lacunes et je vous laisse voir ce que vous pouvez découvrir. Une fois leur rapport reçu, nous élaborons généralement un plan d'amélioration. Cela permet de remonter la hiérarchie de l'organisation à des fins de sensibilisation. De cette manière, nous savons que nous bénéficions de toute l'attention nécessaire pour résoudre tous les problèmes, quels qu'ils soient.
Avec autant d'employés du département, vous devez avoir fort à faire.
Bien sûr. L'un des principes fondamentaux de la sécurité est que la personne – l'employé – constitue toujours le maillon faible.
Les entreprises investissent des millions de dollars dans un environnement de contrôle, mais tout cela peut être contourné par un simple clic manqué. Nous avons donc mené une campagne très intensive de formation à la sensibilisation à l’ , jusqu’au niveau de chaque secteur d’activité, car les méthodes de travail peuvent varier considérablement d’un service à l’autre.
À l'occasion du Mois national de la sensibilisation à la cybersécurité , nous nous entretenons avec nos collaborateurs et invitons des prestataires ainsi que des acteurs clés du secteur à partager leurs expériences et à présenter les bonnes pratiques et les erreurs à éviter en matière de sécurité. Et je pense que nous avons fait des progrès pour raconter cette histoire.
Nous amenons les utilisateurs finaux à se soucier de ces clics erronés en suscitant une réaction émotionnelle qui dépasse le cadre de l'environnement du comté. Ils peuvent mettre en pratique chez eux ce qu'ils ont appris et l'appliquer dans leur vie personnelle.
La période des achats de fin d'année approche, par exemple, et nous allons assister à une forte recrudescence des tentatives d'hameçonnage de type « » , qui prétendent provenir, par exemple, d'Amazon Marketplace, d'eBay, de l'IRS ou de toute autre entité, et auxquelles ils devront prêter attention. Les gens voient ce genre de choses, cela suscite chez eux une réaction émotionnelle et ils risquent de cliquer sans réfléchir. Nous avons considérablement renforcé notre programme afin de les sensibiliser à ces questions, tant au travail qu’à la maison.
Comment savoir si votre formation à la pleine conscience est efficace ?
Nous effectuons des forages en continu. Nous fabriquons des plateaux de table. Je dispose des taux de clics pour chaque service, ainsi que d'un récapitulatif au niveau du département. Je peux suivre cette évolution d'année en année, et nous adaptons la formation lorsque cela s'avère pertinent. Nous ne proposons pas de formations standardisées, identiques d'une année à l'autre. Nous l'adaptons aux secteurs prioritaires du secteur et aux secteurs prioritaires du département.
«Nous ne proposons pas de formations standardisées, identiques d’une année à l’autre. » Nous l'adaptons en fonction des zones à risque du secteur et des zones à risque du département. »
Ainsi, par exemple, nos campagnes de hameçonnage sont un peu différentes de ce qu'elles sont actuellement, car nous nous approchons des élections primaires de l'année prochaine. Nous mettons vos collaborateurs en garde contre les e-mails de hameçonnage contenant des messages destinés à les inciter à agir, tels que : « Votre affiliation politique a changé ; cliquez sur ce lien si ce n'était pas votre intention. »
Nous suivons en permanence l'actualité régionale et géopolitique et adaptons régulièrement nos formations en conséquence.
Menez-vous des opérations de détection des menaces afin d'identifier d'éventuelles vulnérabilités ?
Ah oui, même si nous sous-traitons ce genre de tâches en raison du niveau d'expérience requis. Nous nous efforçons de développer cette compétence en interne. Mais pour nous, il est logique de faire appel à des partenaires de confiance pour nous aider dans le cadre d'exercices de recherche de menaces. La recherche de menaces est un excellent outil, et ce n'est pas une nouveauté. Mais cela reste sans doute encore assez nouveau pour la plupart des administrations, car cela implique l' la gestion des terminaux et un certain niveau d'expertise, ce qui peut s'avérer complexe.
Je suis un grand admirateur du cadre MITRE ATT&CK « » (s'ouvre dans un nouvel onglet) [une référence détaillant les tactiques et techniques couramment utilisées par les attaquants lors d’intrusions réseau], et nous organisons de nombreuses simulations, en fonction du paysage des menaces que nous observons, afin d’identifier ce qui pourrait se passer dans notre région ou dans d’autres juridictions.
[À lire également : Qu'est-ce que la recherche de menaces et pourquoi est-ce important ?]
Encore une fois, tout repose donc sur la collaboration. Car si la ville de Los Angeles est touchée par un événement qui pourrait avoir un lien avec nous, cela pourrait également se produire à Pasadena, à Santa Monica, à Burbank ou ailleurs.
Parlez-nous d'une leçon difficile que vous avez apprise au cours de l'année écoulée.
Heureusement, nous n'avons pas connu d'incidents majeurs. Mais nous nous préoccupons de la gestion des risques liés à la chaîne d'approvisionnement et nous nous efforçons de nous améliorer dans ce domaine.
«Les dirigeants forts ont la clairvoyance nécessaire pour examiner ces idées novatrices et anticiper l’avenir. »
C'est le piratage de SolarWinds, baptisé « » [au cours duquel des pirates ont injecté du code malveillant dans des logiciels couramment utilisés afin de s'introduire dans des dizaines de milliers de réseaux gouvernementaux et d'entreprises], qui a mis cela en lumière. Notre département est vaste. Nous avons de nombreux fournisseurs. Il est donc essentiel pour nous de maîtriser les risques liés à la chaîne d'approvisionnement d' . Nous nous posons sans cesse la question suivante : « Quelle est notre en matière de risques liés aux tiers dans le cadre de l’? » Quel est le niveau de risque lié aux tiers dans l'ensemble du secteur ? « Et comment pouvons-nous vérifier que les fournisseurs respectent nos exigences en matière de sécurité ? »
Pour y remédier, nous avons élaboré un document intitulé « Annexe relative à la sécurité et à la protection de la vie privée », qui énonce les engagements pris par le département et ses prestataires, ainsi que leur accord à respecter leurs obligations en vertu des lois, règles ou réglementations applicables au niveau de l'État ou au niveau fédéral, ainsi que des normes sectorielles applicables en matière de protection de la vie privée. Cela couvre tous les domaines, des audits à la gestion des incidents, etc.
Nous disposons d'un addendum consacré à divers services cloud, et nous sommes actuellement en train de le remanier afin d'y inclure également l'utilisation de l'IA générative d' , car nous sommes convaincus que cette technologie est appelée à perdurer. En effet, nous souhaitons mettre en place des mesures de protection dès maintenant, tant qu'il est encore temps.
Comment faites-vous pour garder une longueur d'avance sur ces technologies nouvelles et émergentes ?
Je pense que la plupart des RSSI suivent la même stratégie dans ce domaine. Nous échangeons entre nous et nous suivons de près l'actualité du secteur.
En tant que RSSI d’un organisme public, je reçois également de nombreux rapports sur les menaces de la part de partenaires fédéraux, notamment l’ , le MS-ISAC (Multi-State Information Sharing and Analysis Center). Tout cela permet d'obtenir de nombreuses informations utiles. Nous organisons également des réunions mensuelles avec le FBI afin de bien cerner la situation en matière de menaces émanant d'États-nations. Et puis, il y a votre propre curiosité. Examiner les implications d'un outil tel que ChatGPT, qui connaît un essor croissant, et se projeter dans l'avenir pour réfléchir à la sécurité dans un monde où l'informatique quantique prend de l'ampleur.
Les dirigeants de grande envergure ont la clairvoyance nécessaire pour examiner ces idées novatrices et réfléchir à la suite des événements. Ils ne sont peut-être pas là aujourd'hui, mais vous devez comprendre ce qui pourrait se passer s'ils venaient à arriver.
POUR EN SAVOIR PLUS
Découvrez d'autres entretiens exclusifs avec des leaders de la sécurité dans notre série « Success Stories ».
- Joseph Karpenko, de Stratascale, s'exprime sur…
: DE LA GESTION DES FAILLES À LA STRATÉGIE D'ENTREPRISE - Ken Fishkin, « évangéliste de la vie privée » chez Lowenstein Sandler, s'exprime sur…
DES FORMATIONS EN CYBERSÉCURITÉ ENNUYEUSES - Mike Wilkes, le « super-héros » de Marvel, s'exprime sur…
L'UTILISATION DE L'IA POUR LUTTER CONTRE LA CYBERCRIMINALITÉ - « Ash Hunt » d’Apex Group sur…
PRÉVOIR (AVEC PRÉCISION) LES RISQUES CYBERNÉTIQUES GRÂCE À CETTE FORMULE - Dennis Leber d'Honest Medical Group sur…
POURQUOI IL NE PARLE PAS (BEAUCOUP) DE CYBERSÉCURITÉ AU CONSEIL D'ADMINISTRATION - Stephen Held de Leo A Daly sur…
L'AUTRE FACE DU RISQUE LIÉ AUX TIERS - Michael Adams de Zoom sur…
ATTEINDRE LA CYBERSÉCURITÉ 2,0 GRÂCE AU SCORING DU CYBER-RISQUE
