En matière d'incidents de cybersécurité, ce sont les États qui assument une grande partie de la charge. Elles ont pour mission de protéger d'innombrables ressources qui fournissent des services essentiels aux citoyens – qu'il s'agisse des transports et du réseau routier, des systèmes scolaires et des programmes Medicaid, du réseau énergétique ou encore de l'infrastructure électorale. Jason Truppi, directeur EDR chez Tanium, partage ici ses recommandations sur la manière dont les gouvernements régionaux peuvent réagir efficacement face aux cyberattaques.
Dix États ont pris conscience qu'ils étaient confrontés à un problème de cybersécurité au début de cette année. Un site d'offres d'emploi couvrant plusieurs États a été piraté, exposant ainsi les numéros de sécurité sociale, les noms et les dates de naissance de millions d'utilisateurs. Lorsque des incidents de ce type se produisent, la question qui se pose naturellement est la suivante : comment réagir ?
J'ai abordé la question des plans d'intervention en matière de cybersécurité avec des responsables des États et des experts lors du sommet régional sur la cybersécurité organisé par l'Association nationale des gouverneurs (NGA) à San José, en Californie, au mois de mars. Parmi mes collègues intervenants figuraient :
- Michael Garcia, analyste politique, Division de la sécurité intérieure et de la sécurité publique, Association nationale des gouverneurs ; David Cagigal, directeur des systèmes d'information, État du Wisconsin ; David Behen, directeur du Département de la technologie, de la gestion et du budget, et directeur des systèmes d'information, État du Michigan ; Michael Wyatt, directeur général, Services de gestion des risques cybernétiques, Deloitte*
En matière de cybersécurité, ce sont les États qui assument une grande partie de la charge. Ils ont pour mission de protéger d'innombrables ressources qui assurent des services essentiels aux citoyens : des transports et du réseau routier aux systèmes scolaires et aux programmes Medicaid, en passant par le réseau énergétique et les infrastructures électorales. La grande diversité et la répartition géographique de ces installations ne font qu'accroître la complexité. C'est notamment pour cette raison que Terry McAuliffe, président de la NGA et gouverneur de Virginie, a fait de la cybersécurité son initiative phare, intitulée « Meet the Threat » (La Virginie se prépare à faire face à la menace). Comme l’a récemment déclaré M. McAuliffe, les États ne peuvent pas attendre que le gouvernement fédéral.
Tout au long de notre discussion, un thème est revenu sans cesse : à quel point il est important que les États disposent d'un plan d'intervention pour faire face à un incident cybernétique, qui finira inévitablement par se produire. Même si l'élaboration d'un plan d'intervention à partir de zéro peut sembler une tâche colossale, heureusement, les États n'ont pas à le faire. Dans ce livre blanc intitulé « » (), la NGA examine les points communs et les différences entre les plans d'intervention en matière de cybersécurité de 26 États. Les DSI et les RSSI des États peuvent s'inspirer de leurs plans d'intervention d'urgence à l'échelle de l'État comme modèle, voire rédiger leur propre plan sous forme d'annexe.
En substance, la mise en place d'un plan d'intervention en cas d'incident efficace repose sur trois éléments clés :
- Veuillez définir les processus « ». Chaque type d'incident potentiel devrait disposer de ses propres procédures clairement définies, car chaque type nécessite une réponse différente. Tous les incidents ne constituent pas nécessairement des violations de données ; c'est pourquoi les États doivent définir une taxonomie des incidents, ainsi que la réponse appropriée à apporter à chacun d'entre eux. Par exemple, une personne qui perdrait son téléphone fourni par l'État ne ferait pas l'objet du même plan d'intervention que dans le cas d'une attaque contre le réseau électrique de l'État.
- Définissez et attribuez les rôles clés. Un plan d'intervention doit préciser qui est responsable de chaque volet de l'intervention et qui en assure le remplacement. Les responsabilités associées à chaque fonction doivent être clairement définies afin d'éviter tout chevauchement ou toute confusion dans la répartition des tâches. Parmi les postes clés, il convient de citer les conseillers juridiques, les responsables, les chargés des relations publiques, les agents de liaison avec les forces de l'ordre et les intervenants disposant d'une expertise spécifique, tels que les experts en criminalistique informatique.
- Entraînez-vous à répondre à la question « ». Le vieil adage selon lequel « c'est en forgeant qu'on devient forgeron » est un cliché, et ce n'est pas sans raison. S'entraîner jusqu'à ce que votre réaction devienne un réflexe peut aider les États à gérer les interventions en cas d'incident sans commettre d'erreurs. Plusieurs organismes tiers ont mis en place des « cyber ranges » qui simulent des incidents réels dans un environnement de test et poussent le personnel chargé de la sécurité à réagir en conséquence. Le personnel informatique doit savoir à quoi ressemble une violation de sécurité et comment utiliser ses propres outils et processus dans son environnement pour réagir rapidement en cas de besoin.
Outre la mise en place de procédures et de rôles, ainsi que l'expérience acquise dans la gestion d'incidents réels, un facteur qui n'est pas toujours pris en compte dans les plans d'intervention est la technologie elle-même. Lorsqu'il s'agit de réagir à des incidents cybernétiques, la rapidité est un facteur essentiel. Plus les pouvoirs publics parviennent à remédier rapidement à un incident, plus ils peuvent en limiter les dégâts. Les services informatiques étant en permanence en sous-effectif, le fait de disposer d'une technologie capable d'automatiser les tâches et de maîtriser rapidement les incidents permet de libérer des ressources humaines précieuses.
Pour plus d'informations, les États peuvent également consulter le site , le guide du NIST sur la gestion des incidents de sécurité informatique ( ) ainsi que le guide de planification en cas de cyberperturbation de l'Association nationale des DSI des États () ().
Pour en savoir plus :
- Les responsables informatiques du secteur public reconnaissent la nécessité d'agir rapidement
- Les mises à jour du cadre de cybersécurité du NIST mettent l'accent sur la chaîne d'approvisionnement et les indicateurs
- Pourquoi le service informatique ne parvient pas à garantir une bonne hygiène de sécurité
À propos de l'auteur : Jason Truppi, directeur de la gestion technique des comptes chez Tanium, est un spécialiste des technologies de longue date et un ancien agent du FBI. Jason possède de nombreuses années d'expérience dans le domaine des systèmes d'information et de la sécurité. Avant de rejoindre Tanium, Jason a occupé le poste d'agent cyber du FBI à New York, où il a travaillé sur certaines des affaires les plus importantes du pays en matière de sécurité nationale et de cyberintrusions criminelles. Il a ensuite été promu au poste d'agent spécial superviseur à Washington D.C., où il était chargé d'enquêter sur les violations de données majeures, le hacktivisme et les affaires de cyber-extorsion. Chez Tanium, Jason contribue à faire évoluer nos produits de cybersécurité afin de permettre aux responsables de la sécurité des réseaux d'entreprise d'agir à une échelle encore plus grande. Il met à profit ses compétences et son expérience en matière de gestion des incidents, de tests d'intrusion, d'analyse et de renseignements sur les menaces pour contribuer à lutter contre l'épidémie actuelle de fraudes liées à la cybersécurité.
