En 2015, Ash Carter, secrétaire à la défense, a dévoilé une stratégie ambitieuse pour renforcer la cybersécurité américaine.
Entre autres initiatives, il a annoncé que le Pentagone réunirait 6 200-strong membres de la Cyber Mission des entrepreneurs militaires, civils et de défense, et qu’il s’associerait avec les meilleurs et les plus brillants de la Silicon Valley pour créer des incubateurs de R&D tels que son Defense Innovation Unit-Experimental (DIUx).
C’était un grand pas en avant, mais cet élan a depuis calé. L’investissement du Pentagone dans la cybersécurité est resté stable à 9,8 milliards USD par an au cours des années Trump, et le budget du président Biden ne l’a fait qu’augmenter à 10,4 milliards USD, une pâtisserie de 6 %, en 2021.
Pendant ce temps, les cyberattaques contre les intérêts publics et privés américains ont fortement augmenté. Selon Microsoft, la Chine, l’Iran et la Russie ont tous essayé de pirater l’élection présidentielle 2020 . Selon le Trésor américain, les paiements d’entreprise pour les attaques par rançongiciel ont atteint 400 millions USD en 2020, soit plus de quatre fois le montant en 2019.
Pire encore, le piratage de SolarWinds, prétendument exécuté par des renseignements russes étrangers, a exposé le Pentagone et le ministère de la Sécurité intérieure, entre autres agences gouvernementales, à une violation de logiciels malveillants qui n’a pas été détectée pendant des mois.
Depuis sa sortie du ministère de la Défense (DoD) en 2017, Carter a gardé un œil attentif sur le paysage cybernétique. Ce n’est pas surprenant, compte tenu de son expérience en tant que technologue et scientifique (il est titulaire d’un doctorat en physique d’Oxford) ainsi que de ses plus de trois décennies consacrées à la sécurité des citoyens américains.
En avril 2021, Carter a apporté son expérience en cybersécurité à Tanium lorsqu’il a rejoint son conseil d’administration. Le 17 novembre, il sera un conférencier vedette lors de la conférence Converge 2021 de trois jours de Tanium. Avant cela, et peu avant que l’administration Biden n’ordonne aux agences fédérales de corriger des centaines de cyber-défauts, Carter s’est entretenu avec Endpoint pour une discussion franche et étendue. Il a parlé des menaces de cybersécurité auxquelles les États-Unis sont confrontés aujourd’hui, de la manière dont la pandémie a augmenté les enjeux pour la sécurité des endpoints et de la raison pour laquelle il a rejoint le conseil d’administration de Tanium.
La conversation a été condensée et légèrement modifiée pour la durée.
Selon vous, quelles sont les plus grandes menaces de cybersécurité auxquelles sont confrontées les États-Unis aujourd’hui ?
Nous sommes notre pire ennemi. De nombreuses entreprises et agences gouvernementales sont suffisamment éveillées maintenant pour savoir que, sauf si elles sont prêtes à faire des investissements adéquats en cybersécurité, elles sont confrontées à d’énormes risques. Mais le fait est qu’ils n’y ont pas investi de manière adéquate depuis très longtemps, ce qui a deux conséquences. Tout d’abord, leurs réseaux sont mal préparés. Une autre conséquence du sous-investissement est qu’ils n’ont pas les personnes qu’ils devraient avoir pour la sécurité.
« Certaines personnes ne veulent pas appeler une cyberattaque une attaque. C’est une erreur. »
Nous sommes attaqués par des pays étrangers, et cette menace est sous-estimée par certaines personnes qui ne veulent pas appeler une cyberattaque une attaque. C’est une erreur. En tant que secrétaire à la défense, je dirais toujours qu’une attaque est une attaque.
Qu’il s’agisse de la Russie ou de la Chine qui vole des informations sur les employés du gouvernement américain ou des secrets industriels, qu’ils promeuvent ou autorisent les rançongiciels, qu’ils interfèrent avec notre politique nationale, il s’agit d’une attaque. À mon avis, en tant que membre de l’administration Obama, nous n’en avons jamais assez, et Trump n’en a jamais assez. Le président Biden, bien qu’il ait d’excellentes personnes et un excellent jugement dans ce domaine, ne fait pas encore assez, non plus.
Au début de la pandémie, 87 % des employés du DoD et des entrepreneurs civils sont passés de la nuit au travail à domicile. Même maintenant, 20 mois plus tard, nous avons un million d’employés du DoD travaillant à distance. Quel impact cela a-t-il eu sur la sécurité des endpoints ?
C’est très important. Une grande partie de l’activité quotidienne de toutes sortes d’entreprises, y compris le gouvernement, a migré vers de nouveaux endpoints avec des personnes utilisant des appareils personnels et mobiles. Il ne s’agit pas [comme] du bureau de bureau qui vous a été émis et qui a été acheté et configuré dans un souci de sécurité. Ils sont, par définition, mal préparés et vulnérables.
Devrions-nous être mieux préparés à la pandémie ?
Personnellement, le potentiel d’une pandémie mondiale est de mon ressort depuis 25 ans. Même avant 11/09, nous avions quelques avertissements. Si vous vous en souvenez, il y avait un culte japonais en 1990s qui essayait de diffuser des spores d’anthrax depuis un toit à Tokyo. Ils ont échoué et sont allés au plan B, qui consistait à distribuer du sarin dans le métro.
Nous savions que la biologie de l’armement était une possibilité, et vous n’avez pas besoin d’aller loin pour réaliser qu’elle n’a pas besoin d’être un ennemi. Il pourrait s’agir de Dieu ou de Mère Nature qui distribue un pathogène, et nous savions toujours qu’un pathogène respiratoire était la pire chose car il se propage naturellement.
Après 11/09, nous avons eu plusieurs maladies infectieuses, Ebola, Zika, H1N1, SARS, MERS, qui nous préoccupaient et pourraient devenir des épidémies. Au DoD, nous avons été appelés au service par notre gouvernement pour aider, ce que nous avons fait, et ils ont été étouffés avec succès. Celui qui n’a pas été étouffé a éclaté à Wuhan fin 2019 et s’est propagé dans le monde entier.
Bien que les gens réfléchissent aux pandémies depuis longtemps, je ne pense pas qu’ils aient pensé à tous les effets collatéraux dans la société. Il y a quatre ans, si vous aviez dit qu’il y aurait une pandémie de maladie respiratoire et que nous devions tous travailler à domicile, vous auriez peut-être dit : « C’est intéressant » et cela aurait donné cinq minutes de réflexion, mais cela n’aurait pas été creusé dans la mesure dans laquelle cela affecterait l’emploi, l’économie et la cybersécurité.
Que pensez-vous de la collaboration gouvernementale et sectorielle autour des ransomwares ? Le gouvernement joue-t-il un rôle dans sa prévention active ?
Oui. La coopération entre le gouvernement et l’industrie est nécessaire pour la réduire. Les rançongiciels sont un microcosme de la cybersécurité dans son ensemble, en ce sens que ceux qui sont responsables sont ceux qui ont une hygiène suffisamment mauvaise pour qu’ils soient pris par ces gars.
« Deux peuvent jouer à ce jeu. Je sais que c’est une vision controversée, mais il est logique pour moi que vous repoussiez. »
Dans le même temps, je pense que le gouvernement a des responsabilités critiques. La première consiste à aider à promulguer les normes et pratiques nécessaires à une bonne hygiène, et à les mettre en œuvre au sein du gouvernement, qu’ils peuvent ensuite transmettre à l’industrie. C’est ce que font
tous le DoD, le CISA de la sécurité intérieure et le NIST du commerce.
Ces attaques par ransomware proviennent de Russie et de Biélorussie. J’aimerais que
le gouvernement exerce une pression sur [ces nations]. L’autre chose que
j’attends de notre gouvernement est de récupérer les rançons qui sont payées par le biais de bourses de cryptomonnaies, ou au moins d’empêcher les malfaiteurs
de les obtenir en fermant les bourses qui facilitent les activités criminelles.
Le dernier endroit où le gouvernement peut être utile est de donner à certains de ces acteurs de l’infrastructure critique une idée de l’endroit où ils sont vulnérables dans leurs chaînes d’approvisionnement par l’intermédiaire des fournisseurs. Si les fournisseurs sont désordonnés et donc une voie vers une mauvaise hygiène, c’est un problème important. Évidemment, chez Tanium, nos employés le savent très bien et savent quoi faire.
Comment le gouvernement américain pourrait-il exercer une pression sur des pays comme la Russie et la Biélorussie concernant les rançongiciels et les logiciels malveillants ?
Au-delà des sanctions, qui sont toujours bonnes, deux peuvent jouer à ce jeu, et personnellement, je ne pense pas que nous ayons fait assez qui a été offensant. Je sais que c’est une vision controversée, mais il est logique pour moi que vous repoussiez.
D’après mon expérience avec les Russes et les Chinois, qui remonte à plusieurs décennies, en particulier avec la Russie, vous devez repousser. Si vous repoussez, vous ralentirez l’avancée des attaques. Sinon, ils finiront par faire quelque chose que nous ne pouvons pas tolérer et vous avez la possibilité que les choses deviennent vraiment hors de contrôle.
Quelle est votre opinion sur l’attaque SolarWinds ? Comment est-il possible que le piratage ait eu lieu des mois avant que nous ne le réalisions ?
Nous disposons d’un système de renseignement très bon. Cependant, il est à l’écoute des secrets et des plans des ennemis potentiels. Il n’est pas adapté à un tas de punks en Russie ou en Biélorussie qui essaient d’extraire de l’argent d’un hôpital pauvre et impuissant aux États-Unis, ce qui est loin derrière les temps en termes de protection de la cybersécurité.
« Même si je ne suis plus dans le Pentagone, je reste toujours dévoué à la cause de l’amélioration de ce pays et de sa sécurité. »
En raison de l’effet Snowden, qui a conduit de nombreux citoyens à croire que leur propre gouvernement et leurs services de renseignement étaient un danger pour eux, nous ignorons tout type de surveillance de nos propres employés et de leurs réseaux et systèmes, et c’est une raison fondamentale pour laquelle votre gouvernement n’est pas aussi utile au secteur de la cybersécurité que vous pourriez penser qu’il devrait être donné à quel point il est bon dans certains aspects de la cyber.
Une dernière question. Je suis sûr que vous avez eu beaucoup d’opportunités pour le conseil d’administration. Pourquoi rejoindre le conseil d’administration de Tanium ?
On me demande de rejoindre de nombreux conseils d’administration. Je n’ai pas tout le temps dans le monde parce que j’ai des rendez-vous à Harvard et au MIT, que je prends au sérieux. Ce n’est qu’avec le temps qu’il me reste que je peux m’impliquer dans le monde de l’entreprise.
J’ai appris à connaître Tanium il y a plus de 10 ans. Je respecte ce que cela fait beaucoup. Il est important pour moi que tous les intérêts de l’entreprise avec lesquels je travaille soient bons pour notre pays, car même si je ne suis plus dans le Pentagone, je reste toujours dévoué à la cause de l’amélioration de ce pays et de sa sécurité, et Tanium le fait, tant au niveau gouvernemental qu’en dehors. Je crois que sa mission est noble.
