Début septembre, le comté de Suffolk, le quatrième plus grand comté de New York, a subi une attaque par rançongiciel qui a fait tomber le système 911 du comté et d’autres services et a presque entraîné une fuite de plus de 4 téraoctets de données volées. En octobre, les pirates informatiques russophones ont ciblé l’aéroport La Guardia de New York, seulement quelques mois après que les pirates informatiques soutenus par le gouvernement chinois ont violé les réseaux d’au moins six autres gouvernements d’État américains.
Au cours des six premiers mois de la seule 2022 , 27 attaques contre des entités du secteur public américain ont entraîné près de 220 millions USD de paiements par rançongiciel . Ces attaques ne montrent aucun signe de ralentissement.
Les organisations du secteur public ont beaucoup moins de chances de se défendre contre les cyberattaques lorsqu’elles travaillent de manière isolée. Mais lorsqu’ils unissent leurs forces pour développer une stratégie à l’ échelle de l’ensemble de l’État à travers les niveaux étatique et local en partenariat avec le secteur privé, les chances commencent à changer en leur faveur.
Ma nomination récente en tant que vice-président du New York State Forum, une collaboration informatique public-privé travaillant entre les agences, les comtés et les villes d’État, me donne un point de vue unique sur la situation. Le groupe de travail sur la sécurité du forum a adopté l’ensemble de l’État comme sujet clé et recherche actuellement des intervenants pour éduquer, collaborer et partager des idées.
Difficultés à franchir
La cybersécurité dans l’ensemble de l’État est une approche qui met l’accent sur le partenariat entre les services et les agences pour atténuer les menaces de cybersécurité. En éliminant les silos gouvernementaux, cette méthodologie permet aux entités de partager des ressources et des informations de cybersécurité pour améliorer leur posture de sécurité collective.
Supposons qu’un comté soit attaqué. Grâce à une stratégie globale en place, le personnel de sécurité et des opérations informatiques de l’ensemble de l’État peut rapidement partager des informations sur la manière de défendre leurs organisations respectives et d’empêcher les attaques de s’arrêter.
L’un de mes principaux objectifs pour le New York State Forum est d’aider les organisations publiques et privées à se réunir pour relever des défis informatiques complexes. Du côté public, les participants comprennent les villes, les comtés et l’État, ainsi que les établissements d’enseignement, les entités tribales et d’autres organisations du secteur public. Du côté privé, nous avons environ 90 entreprises membres, allant des plus petites start-up aux plus grands intégrateurs de systèmes.
Le forum est un endroit où les responsables informatiques et le personnel peuvent collaborer et établir des relations lorsqu’ils s’attaquent à des problèmes difficiles, comme la manière de créer un cadre d’identité unique sur tous les services de l’État et de se défendre contre les cyberattaques en constante évolution.
Cela dit, l’approche n’est pas facile. Dans un grand État comme New York, avec 62 comtés, des centaines de villes et de nombreuses organisations du secteur public, j’ai relevé quatre défis majeurs pour mettre en œuvre une approche à l’échelle de l’ensemble de l’État.
1. Surmonter la politique
Certaines personnes pensent qu’il n’y a rien de politique en matière de cybersécurité, que les réseaux servent tout le monde, quelle que soit leur affiliation politique. Et c’est vrai. Même ainsi, les gouvernements locaux n’ont parfois pas accepté l’aide de l’État en raison de différences politiques. Mais cela peut changer rapidement lorsque les dirigeants gouvernementaux voient leurs comtés voisins avoir du mal à perturber les services après une attaque.
« Les organisations du secteur public ont beaucoup moins de chances de se défendre contre les cyberattaques lorsqu’elles travaillent de manière isolée. »
J’ai également constaté une certaine réticence à partager des informations sur les vulnérabilités. Peu d’organisations souhaitent partager des informations sur une attaque par rançongiciel, uniquement pour être tenues pour l’affiche enfant sur la manière de ne pas défendre un réseau.
Une partie de ma mission au forum est d’aider à établir la confiance entre les participants dans notre stratégie globale : faire confiance aux experts pour écouter le personnel informatique local, que leur volonté de partager les échecs ne sera pas sanctionnée et que ces informations seront partagées ouvertement. Je veux établir la confiance en rassemblant les gens et en les encourageant à travailler ensemble pour résoudre les problèmes qui nous affectent tous.
2. Attirer et retenir les talents
Un défi majeur pour les organisations du secteur public est d’ attirer et de retenir les talents en cybersécurité. Selon la section new-yorkaise de la cartographie des lacunes en matière de talents sur Cyberseek.org, plus d’un tiers de tous les postes de cybersécurité dans l’État de New York ne sont pas pourvus, malgré le fait que les analystes de sécurité de l’information de niveau débutant dans l’État peuvent gagner plus de 140 000 USD par an.
« Il y a un monde sous-jacent de consultants qui travaillent de concert avec leurs talents informatiques, sélectionnant les meilleures opportunités pour le meilleur taux horaire », a déclaré Kevin Carpenter, directeur principal du développement commercial chez MVP Consulting et ancien président de la Table ronde d’entreprise informatique du Forum de l’État de New York. « Pendant la pandémie de Covid, alors que le travail à domicile devenait la norme, trouver des talents en dehors de son indicatif régional a apporté de l’expérience et des compétences non disponibles par le passé. Alors que nous entrons dans le monde post-pandémie, une grande partie de ce talent a décidé : « Non, je ne veux pas m’asseoir à un bureau à Albany comme avant, » et ils démissionnent en voiture. »
Même les professionnels de la cybersécurité les plus altruistes choisiront ce qui est le mieux pour leur carrière et leurs familles. Si le secteur public ne peut pas répondre à leurs besoins, les talents iront ailleurs. L’un des avantages d’une stratégie à l’échelle de l’État est qu’en travaillant ensemble, les plus petites entités du secteur public peuvent avoir accès à des cyberexperts hautement qualifiés, sans avoir à les mettre sur la paie.
3. Réaliser la standardisation
Le manque de standardisation dans la plupart des États est également un défi dans la manière dont ils se défendent contre les cybercriminels. De toute évidence, il n’existe pas de méthode unique pour assurer la cybersécurité. Mais le regroupement donne aux participants l’opportunité de créer des normes unifiées, telles que les compétences pour lesquelles embaucher, comment cartographier la surface d’attaque de chaque organisation et comment collecter des données liées aux attaques. Si votre État dispose de 50 façons différentes de faire quelque chose, il devient beaucoup plus difficile d’agir rapidement, voire du tout.
Le secteur privé a un rôle important à jouer dans la création de normes. Les meilleures entreprises technologiques s’associent au secteur public et offrent des solutions qui peuvent être facilement intégrées à des systèmes disparates.
4. Obtenir plus de financement
La mise en œuvre d’une stratégie globale n’est pas gratuite. Bien qu’une grande partie du travail initial implique l’établissement de relations et de confiance, à un moment donné, les organisations doivent installer des outils et des technologies. Nous avons de la chance à New York, car l’État a alloué 61,9 millions USD pour les mesures de cybersécurité dans le budget de 2023 États et 30 millions USD supplémentaires pour aider les gouvernements locaux à déployer des cyberdéfenses de haute qualité. En octobre, le gouvernement Hochul a annoncé un financement fédéral supplémentaire de 246 millions USD pour lutter, entre autres menaces, contre les cyberattaques sur le système électoral de l’État.
« [Avec une approche à l’échelle de l’État,] les dirigeants ont accès à des compétences de cybersécurité de haute qualité sans avoir à ajouter d’effectifs, et ils pourraient même économiser de l’argent sur leurs primes de cyberassurance. »
Les défenseurs de l’ensemble de l’État peuvent également se tourner vers le projet de loi d’infrastructure de 1,2 billions USD du gouvernement fédéral, qui augmente les dépenses de cybersécurité du gouvernement de près de 2 milliards USD. Les gouvernements étatiques, locaux, tribaux et territoriaux peuvent utiliser le financement pour mieux protéger les données sensibles et les infrastructures critiques, répondre plus rapidement aux intrusions de cybersécurité et prendre d’autres mesures pour renforcer les cyberdéfenses. Les États qui établissent des relations entre leurs entités étatiques et locales peuvent regrouper leur financement pour atteindre des objectifs communs.
Faire de l’ensemble de l’état une réalité
Par le passé, de nombreuses entités publiques étaient réticentes à améliorer la cybersécurité autant qu’elles le souhaitent. La menace d’attaques par ransomware a attiré leur attention, mais le coût accru de la cyberassurance en est de même. Cette année, le comté de Clinton à New York a payé près de 50 000 USD pour sa couverture d’assurance cyber. L’assureur du comté a dit aux dirigeants de s’attendre à une prime estimée à 72 000 USD pour 2023, soit une augmentation de près de 50 %.
Un moyen important pour les entités publiques d’éviter de telles augmentations astronomiques consiste à prouver qu’elles prennent des mesures concrètes pour lutter contre les cyberattaques et disposent des données nécessaires à cet effet. Les collèges, universités et laboratoires d’État qui obtiennent un financement externe constatent également que de nombreuses agences de financement commencent à exiger le même type de preuve. En travaillant ensemble avec une stratégie à l’échelle de l’État, les entités publiques peuvent apprendre à réduire les primes en mettant en œuvre, par exemple, l’ authentification multifacteur, la notation des risques et l’ amélioration de la collecte de données.
[Lire également : Voici comment les rançongiciels luttent contre le secteur de la cyberassurance]
À mesure que les organisations élaborent une stratégie à l’échelle de l’État, elles peuvent commencer par partager des pratiques de cyberhygiène de base, puis passer au partage d’outils et de technologies et travailler ensemble pour développer des stratégies de cyberdéfense. Enfin, ils peuvent s’aider mutuellement à arrêter les cyberattaques en temps réel. En collaborant, les leaders ont accès à des compétences en cybersécurité de haute qualité sans avoir à ajouter d’effectifs, et ils peuvent même économiser de l’argent sur leurs primes de cyberassurance.
À l’heure actuelle, la nation est divisée et cette division peut nous empêcher de mettre en place une défense unifiée contre nos ennemis. Si notre pays était attaqué par une force militaire conventionnelle, nous mettions de côté nos divisions politiques et travaillerions ensemble en tant qu’Américains. Les cyberattaques que nous subissons dans les secteurs public et privé à tous les niveaux du gouvernement sont en fait une forme de guerre moderne.
Pour répondre aux menaces croissantes rapidement, les responsables de la sécurité des organisations du secteur public à travers un État doivent se réunir avec leurs pairs, du plus bas niveau au plus élevé, pour s’écouter, s’aider mutuellement et établir des relations. Bien que la technologie soit très importante, un état d’esprit collaboratif est encore plus essentiel. En adoptant une stratégie à l’échelle de l’État, les dirigeants peuvent accélérer leur parcours partagé vers une posture de sécurité robuste capable de répondre aux menaces imminentes.
