Le piratage électoral est une nouvelle fois sous les feux de l'actualité
Cette semaine, l’ , le Washington Post, , ont rapporté (s’ouvre dans un nouvel onglet), , que les services de renseignement et les forces de l’ordre américains enquêtent sur une éventuelle opération secrète russe visant à perturber les élections de novembre. Cette nouvelle fait suite à celle de la semaine dernière, selon laquelle les bases de données électorales de deux États avaient été piratées – ce n'est que le dernier épisode en date d'un long été au cours duquel les bases de données de campagne des deux grands partis ont été piratées. Même si les acteurs et leurs intentions ne sont toujours pas clairs à 100 %, une chose est sûre : ces attaques ne sont pas près de disparaître.
À ce jour, la plupart des articles et des travaux de recherche se sont concentrés sur la nécessité d'empêcher toute forme d'attaque de se produire. Cela semble logique, compte tenu de la gravité du problème. Et il existe en effet des mesures que nous pouvons prendre pour réduire considérablement cette menace – notamment en ce qui concerne nos machines à voter, qui sont extrêmement vulnérables. En effet, un nouveau rapport intitulé « » () , disponible à l’adresse (s’ouvre dans un nouvel onglet) , publié par l’Institute for Critical Infrastructure, décrit les machines à voter comme « des ordinateurs allégés fonctionnant sous des systèmes d’exploitation obsolètes et présentant toutes les vulnérabilités imaginables qu’un appareil puisse avoir ».
Mais même s'ils étaient tous aussi à jour que l'iPhone que vous avez dans votre poche, cela ne signifie pas pour autant qu'ils sont sûrs. Comme je l’ai écrit à la fin du mois dernier dans Forbes (s’ouvre dans un nouvel onglet), à la suite des piratages du Comité national démocrate :
« Comme pour tout réseau comptant des milliers, voire des millions de terminaux, la question n’est pas de savoir si une intrusion se produira, mais quand elle se produira et dans quel délai elle pourra être détectée et maîtrisée avec succès. » Cela revêt une importance particulière lors des élections, car tout doute ne pouvant être rapidement vérifié peut s'avérer désastreux. »
Heureusement, le gouvernement fédéral prend cette menace au sérieux. Le secrétaire à la Sécurité intérieure, Jeh Johnson, a demandé que les 9 000 bureaux de vote du pays soient classés comme infrastructures essentielles et a proposé l'aide de son ministère pour aider les États à sécuriser leurs systèmes de vote. À la suite des dernières attaques, l'Institut national des normes et des technologies (NIST) se réunit avec la Commission d'assistance électorale des États-Unis afin d'évaluer les normes de cybersécurité de l'infrastructure électorale américaine en vue de se préparer aux prochaines élections.
Conclusion
Ce sont là des signes encourageants et, à court terme, nous encourageons le gouvernement fédéral à poursuivre sa collaboration avec les États et à partager avec eux les informations essentielles relatives aux menaces. Mais dans la perspective de la loi 2020, le gouvernement fédéral devrait aider les États à moderniser leurs infrastructures électorales, à l’instar des grandes organisations qui modernisent les leurs, c’est-à-dire en les concevant de manière à ce que les vulnérabilités puissent être rapidement identifiées et corrigées avant que des dommages graves ne surviennent.
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensique, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
