Les collectivités territoriales et locales ont longtemps manqué de moyens financiers, et parfois même de volonté, pour renforcer leurs défenses cybernétiques, mais une aide indispensable est en passe d’arriver, grâce à un milliard de dollars alloué à la cybersécurité au niveau des collectivités territoriales et locales dans le cadre du projet de loi bipartite sur les infrastructures « » , que le président Biden a promulgué en novembre.
Ce financement, bien qu’il ne représente qu’une infime partie du coût total de la loi, qui s’élève à 1,2 000 milliards de dollars — et qui prévoit également 65 milliards de dollars pour améliorer les infrastructures de haut débit et 65 milliards de dollars supplémentaires pour moderniser le réseau électrique américain —, n’en reste pas moins considérable. Il s’agit en effet du plus important investissement fédéral jamais réalisé à ce jour en matière de cybersécurité au niveau des États et des collectivités locales, un investissement que les défenseurs de cette cause jugent à la fois urgent et attendu depuis longtemps.
« À l’heure actuelle, seuls 15 États disposent d’un budget dédié à la cybersécurité », déclare Matt Pincus, directeur des affaires gouvernementales à l’Association nationale des responsables informatiques des États (NASCIO). « Celles qui le font ne consacrent qu'entre 1 % et 3 % de leurs dépenses informatiques globales à la cybersécurité, contre 10 % à 20 % dans le secteur privé. »
On a vraiment hâte de recevoir cet argent. Ces dernières années, les responsables de la sécurité informatique des États, comtés, villes et collectivités locales américaines ont été pris d'assaut. D'innombrables administrations publiques ont été victimes d'attaques par ransomware, qui ont coûté, selon les estimations, 18,8 milliards de dollars en frais de remise en état et en temps d'indisponibilité dans 30 États en 2020, dernière année complète pour laquelle des données sont disponibles. Selon un rapport publié par le site Comparitech, spécialisé dans la sécurité des consommateurs, ces attaques ont touché 71 millions de citoyens.
Au moins 75 attaques par ransomware ont visé des entités d'État, locales et tribales au cours des cinq premiers mois de l'année 2021 seulement. Des pirates informatiques ont même tenté de s'introduire dans les réseaux d'approvisionnement en eau de la région de la baie de San Francisco , de la région de San Francisco, , du sud de la Californie et , ainsi que de la Floride centrale, entre autres. S'ils avaient réussi à contourner des systèmes d'accès à distance peu sécurisés, ils auraient pu contaminer le réseau d'approvisionnement en eau local.
Faire face à une tempête parfaite
Ce nouveau financement destiné à la cybersécurité ne constituera pas un apport ponctuel de liquidités. Ce montant s'étalera sur quatre ans, passant de 200 millions de dollars en 2022 à un pic de 400 millions de dollars en 2023 , avant de diminuer progressivement à partir de 2025.
«Le Congrès reconnaît que les ressources doivent être allouées aux plus vulnérables. »Matt Pincus, directeur des affaires gouvernementales, Association nationale des responsables informatiques des États (NASCIO)
Il convient notamment de noter que la loi exige que 80 % des fonds soient versés aux collectivités territoriales et aux administrations locales, qui disposent souvent des infrastructures de sécurité les moins solides. « Avec cette disposition, le Congrès reconnaît que les ressources doivent être affectées aux plus vulnérables », déclare M. Pincus. Les collectivités territoriales et les administrations locales sont confrontées aux mêmes défis que ceux rencontrés au niveau fédéral par l'Agence pour la cybersécurité et la sécurité des infrastructures ( , Cybersecurity and Infrastructure Security Agency) (CISA) et , ainsi que par le Bureau de la sécurité des systèmes d'information ( ) du Sénat .
Les collectivités territoriales et les administrations locales devront surmonter quelques obstacles pour accéder à ces fonds. Ils doivent soumettre une proposition de dépenses annuelle à la CISA pour approbation. Ils doivent également participer au financement en apportant une contribution équivalente aux fonds fédéraux, dont le taux augmentera progressivement, passant de 10 % de contribution locale par rapport aux fonds fédéraux en 2022 à 40 % d'ici 2025.
Ces efforts en vaudront largement la peine, compte tenu de la « tempête parfaite » de défis liés à la cybersécurité qui sévit depuis le début de la pandémie de COVID-19, déclare Rita Reynolds, directrice des systèmes d'information à l'Association nationale des comtés (NACo).
« La pandémie de COVID-19 a accéléré le développement de solutions technologiques pour les départements, mais elle a également ouvert un champ d’action bien plus vaste aux acteurs malveillants », explique M. Reynolds. Face à la multiplication des incidents et des violations de données, les primes d'assurance cyberaugmentent, les assureurs exigeant souvent des organismes publics qu'ils mettent en place des mesures de protection et des pratiques de cyberhygiène , telles que l'authentification multifactorielle (MFA). « L’authentification multifactorielle n’est plus un simple atout », déclare M. Reynolds. « C'est une nécessité. »
Si des mesures telles que l’authentification à plusieurs facteurs (MFA) et le modèle « zéro confiance » ( ) figurent en tête des priorités en matière de cybersécurité de nombreuses administrations régionales et locales, d’autres mesures de protection indispensables comprennent la modernisation des réseaux existants, la mise en place d’une surveillance en temps réel, la protection contre les vulnérabilités des terminaux et la sécurisation des domaines « .gov » dédiés.
Bien plus qu'une simple question de financement
Il faudra bien plus que de l'argent pour renforcer la sécurité des administrations régionales et locales.
« La résilience est essentielle », déclare la députée Yvette Clarke (D-N.Y.), présidente de la sous-commission de la Chambre des représentants chargée des menaces émergentes, de la cybersécurité, ainsi que des sciences et technologies, au sein de la commission de la sécurité intérieure. « Des adversaires déterminés ont tout le temps nécessaire pour s'attacher à contourner les défenses réseau. » Selon M. Clarke, les États membres de l' e devraient mettre en place des plans d'intervention en cas de cyberincident, afin que les opérations puissent se poursuivre même si les systèmes sont compromis.
En 2020, dernière année complète pour laquelle des données sont disponibles, les victimes des attaques par rançongiciel au niveau des collectivités locales et des États ont enregistré une perte de 773 jours d'activité administrative due à la cybercriminalité et aux efforts de restauration. Des infrastructures publiques essentielles, telles que les services publics et les services « 911 », ont cessé de fonctionner. Selon une estimation d' , disponible à l'adresse , le coût moyen d'une interruption de service s'élève à 8 662 dollars par minute. Et le nombre d'attaques par an ne cesse d'augmenter.
Auparavant, les gouvernements s'inquiétaient du vol de données personnelles par des pirates informatiques. « Un pirate informatique pourrait désormais “paralyser tout un État” », déclare M. Pincus, de la NASCIO. « Ce n’est plus un problème informatique », déclare-t-il. « C'est une question de continuité des pouvoirs publics. »
Étant donné que les collectivités territoriales et locales sont tenues d'apporter une contribution équivalente au financement fédéral, le choix d'investir pour maintenir les services numériques en état de fonctionnement reviendra à chaque entité du secteur public. Il s'agit d'organisations qui manquent cruellement de moyens financiers depuis toujours et dont les budgets sont aujourd'hui encore plus serrés en raison des coûts supplémentaires liés à la pandémie. M. Pincus précise que si un organisme public ne souhaite pas prendre en charge ce faible pourcentage de la facture — l'année prochaine, le taux de contrepartie est fixé à seulement 10 % —, il ne pourra pas solliciter de subvention. « C'est de l'argent gaspillé et une occasion manquée », estime-t-il.
En d'autres termes, si le milliard de dollars alloué dans le cadre de la nouvelle loi sur les infrastructures a permis de jeter les bases d'une amélioration de la cybersécurité au niveau des États et des collectivités locales, la question reste ouverte de savoir si les législateurs passeront à la vitesse supérieure.
Les premières manifestations d'intérêt se manifesteront au début de l'année 2022 , lorsque les collectivités publiques régionales et locales définiront leurs priorités annuelles. En pleine pandémie, l’ironie veut que bon nombre de leurs discussions se déroulent en ligne, via des réseaux peu sécurisés, plutôt que dans les bureaux des législateurs, qui restent fermés.
