La récente directive « » émise par l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA), qui impose à toutes les agences fédérales de corriger des centaines de failles informatiques, n’a surpris personne. Depuis des années, les organismes de surveillance des technologies et les membres du Congrès reprochent aux agences leur manque de rigueur en matière de cybersécurité.
Cependant, bien que la directive opérationnelle contraignante n° 22-01 de la CISA accorde aux agences un délai de deux semaines à six mois pour corriger des vulnérabilités logicielles qui existent depuis des années, le problème sous-jacent remonte, dans de nombreux cas, à plusieurs décennies.
En août, la commission sénatoriale chargée de la sécurité intérieure et des affaires gouvernementales a mis en évidence «des défaillances systémiques » en matière de cybersécurité au sein de sept agences fédérales sur huit, soulignant leur dépendance à l’égard de systèmes obsolètes non pris en charge et leur incapacité à surveiller, suivre et « protéger les actifs sensibles des États-Unis ». En matière de maturité en matière de cybersécurité, la commission a attribué aux agences la note très médiocre de C–.
Dans son examen approfondi des huit agences, la HSGAC a relevé plusieurs faiblesses importantes :
- Sept organismes utilisaient des systèmes ou des applications obsolètes pour lesquels le fournisseur ne fournissait plus de mises à jour de sécurité.
- Six agences n'ont pas installé rapidement les correctifs de sécurité d' et d'autres mesures de correction des vulnérabilités.
- Sept agences n'ont pas tenu à jour des inventaires précis et exhaustifs de leurs actifs informatiques .
Le rapport de la commission sénatoriale s'appuie sur une évaluation de l'état de la cybersécurité de chaque organisme fédéral, réalisée par leurs propres inspecteurs généraux (IG) en 2020.
Il s'agit de la suite d'un rapport similaire rédigé par une sous-commission de cette même commission en 2019, qui avait évalué les rapports des inspecteurs généraux des agences au cours de la décennie précédente. Les conclusions mises en évidence dans ces deux rapports sont accablantes. Bon nombre des défis en matière de sécurité résultent d'une accumulation de réseaux hérités difficiles à mettre à jour, à surveiller et à protéger. D'après leurs propres inspecteurs généraux, les agences consacrent une part trop importante de leurs ressources à ces systèmes obsolètes et s'exposent ainsi aux attaques menées par les cybercriminels.
« Les pirates informatiques font preuve d’une sophistication croissante », déclare Edward Debish, directeur des relations clients du secteur public chez Tanium et ancien commandant du Groupe des opérations cybernétiques du Corps des Marines. « Tout logiciel comporte forcément une faille de sécurité. » « Ce n’est qu’une question de temps avant que cette vulnérabilité ne soit identifiée, puis exploitée. »
Correction des vulnérabilités
La gestion continue des correctifs est un processus essentiel en matière de cybersécurité que les administrations ont souvent tendance à négliger. Le rapport de la commission sénatoriale met en évidence cette défaillance au sein de plusieurs agences, notamment le ministère de la Sécurité intérieure, l'organisme chargé de superviser les normes de cybersécurité au sein de l'administration fédérale. Le rapport a révélé que le DHS n'avait pas correctement appliqué les correctifs de sécurité pendant 12 ans. Selon les enquêteurs de l'agence, vingt-six « failles de sécurité majeures » ont résulté de cette défaillance.
«La véritable question est de savoir si l’administration a déterminé comment contrôler le respect des règles de manière plus efficace que par le passé. »Daniel Castro, vice-président de la Fondation pour les technologies de l'information et l'innovation
Le principal défi réside dans le fait que les agences fédérales opèrent dans un environnement informatique hétéroclite, réparti entre des infrastructures sur site et de multiples plateformes cloud. Mais ce n’est pas tout : la croissance explosive du nombre de terminaux non gérés — et souvent non répertoriés et invisibles — utilisés par des dizaines de milliers de fonctionnaires fédéraux travaillant à distance a encore compliqué la sécurisation des données sur ces terminaux.
En effet, le rapport du Sénat intitulé « août 2021 » a mis en évidence un manque préoccupant de visibilité sur les réseaux des agences, ce qui empêchait ces dernières de surveiller pleinement leurs propres plateformes afin de détecter les cybermenaces.
Par exemple, le Département d'État n'a pas été en mesure de fournir les documents requis pour 60 % des employés ayant accès à son réseau classifié. Les tests effectués sur ses systèmes ont mis en évidence 450 failles présentant un risque critique et 736 failles présentant un risque élevé. Les inspecteurs du ministère des Transports, chargé de la cybersécurité des infrastructures de transport terrestre du pays, ont recensé près de 15 000 équipements informatiques — notamment des appareils mobiles et des serveurs — dont l'agence n'avait aucune trace dans ses registres. Au sein du ministère du Logement et du Développement urbain, les inspecteurs ont découvert un réseau informatique « parallèle », une situation qui met en danger les données personnelles et financières de millions d'Américains.
Priorités en matière de gestion des correctifs
Selon la CISA, la solution à tous ces problèmes consiste pour chaque organisme à mettre en place une solution de gestion des correctifs robuste et, de préférence, automatisée. L'agence avait précédemment publié un « Guide de renforcement des capacités de l' » destiné à aider les ministères fédéraux à mettre en œuvre des stratégies de gestion des correctifs.
Le succès de l'approche de la CISA dépend de deux facteurs. Le premier point concerne le respect des consignes : il s'agit de déterminer dans quelle mesure les agences prendront au sérieux et se conformeront rapidement à l'ordre de la CISA. Daniel Castro, vice-président du groupe de réflexion « Information Technology and Innovation Foundation », n'est pas convaincu que cela se produira. « Les agences sont déjà tenues d’appliquer les correctifs aux systèmes en vertu de la loi FISMA [Federal Information Security Management Act] », explique M. Castro. « La véritable question est de savoir si le gouvernement a défini comment contrôler le respect des règles de manière plus efficace que par le passé. »
Le deuxième facteur réside dans l'attention toute particulière que porte la CISA à l'application des correctifs. Cette directive se distingue par l’absence d’autres stratégies de cybersécurité couramment utilisées dans le secteur, telles que la détection et l’inventaire des actifs ainsi que la surveillance continue en temps réel de tous les terminaux connectés au réseau d’une administration.
« L'application de correctifs est un bon début, mais cela ne suffit pas », déclare Malcolm Harkins, chercheur à l'Institute for Critical Infrastructure Technology (ICIT), un groupe de réflexion spécialisé dans la sécurité. Il affirme que cette mesure doit s'inscrire dans le cadre d'autres stratégies fondamentales, telles que la détection des menaces et la surveillance du réseau.
En effet, les organismes doivent d'abord identifier l'ensemble de leurs terminaux réseau (serveurs, postes de travail, équipements réseau et périphériques), puis dresser un inventaire complet des données relatives à ces terminaux. Ce n'est qu'alors qu'ils pourront installer, mettre à jour, appliquer des correctifs ou supprimer des logiciels de manière — que ce soit sur un groupe de machines ou sur une machine individuelle.
« Les correctifs ne constituent pas à eux seuls une solution miracle », déclare M. Harkins. « Connaître les options qui s’offrent à vous, savoir quels systèmes mettre à jour en priorité et quels appareils sont les plus importants », voilà la clé d’une cybersécurité efficace, affirme-t-il.
