Les gouvernements étatiques et locaux manquent depuis longtemps de financement, et dans certains cas, de volonté, de renforcer leurs cyberdéfenses, mais une aide indispensable est en cours, grâce à 1 milliard USD consacré à la cybersécurité étatique et locale dans le projet de loi bipartite sur les infrastructures que le président Biden a signé en novembre.
Ce financement, bien qu’une petite fraction du prix global de la loi de 1,2 billions USD, qui alloue également 65 milliards USD pour améliorer l’infrastructure haut débit et 65 milliards USD supplémentaires pour mettre à niveau le réseau électrique américain, soit toujours important, représentant le plus grand investissement fédéral en cybersécurité étatique et locale à ce jour, un financement qui selon les défenseurs est à la fois urgent et en retard de longue date.
« Actuellement, seuls 15 États disposent d’un budget dédié à la cybersécurité », déclare Matt Pincus, directeur des affaires gouvernementales de la National Association of State Chief Information Officers (NASCIO). « Ceux qui le font ne budgétisent qu’entre 1 % et 3 % de leurs dépenses informatiques globales en cyber, contre 10 % à 20 % dans le secteur privé. »
L’argent ne peut pas arriver assez tôt. Au cours des dernières années, les responsables de la sécurité de l’information des États, comtés, villes et agences municipales des États-Unis ont été en train d’être assiégés. D’innombrables agences gouvernementales ont été prises en otage par des attaques de rançongiciels, ce qui a coûté environ 18,8 milliards USD en récupération et temps d’arrêt dans 30 États en 2020, la dernière année complète disponible. Les attaques ont affecté 71 millions de citoyens, selon un rapport du site de sécurité des consommateurs Comparitech.
Au moins 75 attaques de ransomware ont ciblé des entités étatiques, locales et tribales au cours des cinq premiers mois de 2021. Les pirates informatiques ont même essayé d’infiltrer les quartiers aquatiques de la baie de San Francisco, de la Californie du Sud et du centre de la Floride, entre autres. S’ils avaient réussi à traverser des systèmes d’accès à distance faibles, ils auraient pu empoisonner l’approvisionnement local en eau.
Lutter contre une tempête parfaite
Le cyberfinancement nouvellement mis au point ne sera pas une perfusion ponctuelle en espèces. Elle sera répartie sur quatre ans, passant de 200 millions USD en 2022 à un niveau élevé de 400 millions USD en 2023 avant de diminuer progressivement d’ici 2025.
« Le congrès consiste à reconnaître que les ressources doivent être dirigées vers les plus vulnérables. »Matt Pincus, directeur des affaires gouvernementales, National Association of State Chief Information Officers (NASCIO)
Notamment, la loi exige que 80 % de l’argent soit versé aux gouvernements d’État et locaux, qui disposent souvent de l’infrastructure de sécurité la moins robuste. « Avec cette disposition, le Congrès reconnaît que les ressources doivent être destinées aux plus vulnérables », déclare M. Pincus. Les gouvernements étatiques et locaux sont confrontés aux mêmes défis que la Cybersecurity and Infrastructure Security Agency (CISA) et le Sénat au niveau fédéral.
Les gouvernements d’État et locaux devront surmonter quelques obstacles pour accéder aux fonds. Ils doivent soumettre une proposition de dépense annuelle au CISA pour approbation. Ils doivent également partager la charge financière avec une correspondance des fonds fédéraux qui augmentera progressivement d’une correspondance locale de 10 % des dollars fédéraux en 2022 à une correspondance de 40 % d’ici 2025.
Ces efforts en valent la peine, étant donné la « tempête parfaite » des cyber-défis depuis le début de la pandémie de COVID-19, déclare Rita Reynolds, directrice de l’information de la National Association of Counties (NACo).
« La COVID a intensifié l’avancée des solutions technologiques pour les comtés, mais en même temps, elle a créé un paysage beaucoup plus large pour les acteurs malveillants qui s’infiltrent », déclare Reynolds. Avec l’augmentation des incidents et des violations, les primes de cyberassurance augmentent, les assureurs exigeant souvent des agences gouvernementales qu’elles mettent en place des pratiques de cyberhygiène protectrices telles que l’ authentification multifacteur (AMF). « L’authentification multifacteur n’est plus agréable », déclare Reynolds. « C’est une nécessité. »
Bien que des tactiques telles que l’AMF et le Zero Trust soient en tête des listes de souhaits cyber de nombreux gouvernements étatiques et locaux, d’autres protections de sécurité nécessaires comprennent la mise à niveau des réseaux existants, la mise en œuvre d’une surveillance en temps réel, la protection de la vulnérabilité des endpoints et la sécurisation des domaines « .gov » dédiés.
Plus qu’un problème de financement
Il faudra beaucoup plus que de l’argent pour renforcer la sécurité des gouvernements d’État et locaux.
« La résilience est essentielle », déclare la rep. Yvette Clarke (D-N.Y.), présidente du sous-comité de la sécurité intérieure de la Maison sur les menaces émergentes, la cybersécurité, les sciences et la technologie. « Les adversaires déterminés ont tout le temps dans le monde pour investir dans la lutte contre les défenses du réseau. » Clarke déclare que les États doivent mettre en place des plans de réponse aux cyber-incidents, afin que les opérations puissent se poursuivre si les systèmes sont compromis.
En 2020, la dernière année complète de données disponibles, de victimes étatiques et locales d’attaques de rançongiciels a enregistré 773 jours d’opérations gouvernementales perdues en raison des efforts de cybercriminalité et de récupération. Les ressources gouvernementales clés, telles que les services publics et les services 911 , ont chuté. Une estimation place l’étiquette de prix moyen pour les temps d’arrêt à 8 662 USD par minute. Et le nombre d’attaques par an continue d’augmenter.
Les gouvernements étaient préoccupés par le vol de données personnelles par des pirates informatiques. Désormais, un pirate informatique pourrait « arrêter tout un état », déclare Pincus de NASCIO. « Ce n’est plus un problème informatique », dit-il. « C’est une continuité du problème gouvernemental. »
Avec l’exigence que les gouvernements étatiques et locaux correspondent au financement fédéral, le choix d’investir pour maintenir les lumières numériques allumées incombera à chaque entité du secteur public. Il s’agit de groupes constamment encombrés d’espèces, les budgets étant désormais encore plus fins en raison des coûts supplémentaires liés à la pandémie. Pincus déclare que si une agence gouvernementale ne souhaite pas cotiser le faible pourcentage de la facture, l’année prochaine, la correspondance est fixée à seulement 10 %, elle ne pourra pas demander de subvention. « Il s’agit d’argent gaspillé et d’une opportunité gaspillée », croit-il.
En d’autres termes, alors que les 1 milliard USD alloués dans la nouvelle loi sur les infrastructures ont construit une rampe pour améliorer la cybersécurité étatique et locale, il s’agit d’une question ouverte pour savoir si les législateurs vont accélérer leur passage à la vitesse supérieure.
Les premiers signes d’intérêt interviendront début 2022 , car les gouvernements étatiques et locaux établissent leurs priorités annuelles. Au milieu d’une pandémie, l’ironie est que beaucoup de leurs discussions auront lieu en ligne sur des réseaux vulnérables plutôt que dans des bureaux législatifs toujours saccadés.
