Début septembre, le comté de Suffolk, quatrième plus grand comté de l'État de New York, a été victime d'une attaque par rançongiciel qui a paralysé le système « 911 » du comté ainsi que d'autres services, et a failli entraîner la fuite de plus de 4 téraoctets de données volées. En octobre, des pirates informatiques russophones ont pris pour cible l'aéroport La Guardia de New York, quelques mois seulement après que des pirates soutenus par le gouvernement chinois ont pénétré dans les réseaux d'au moins six autres États américains.
Au cours des six premiers mois de l'année 2022 seulement, 27 attaques contre des entités du secteur public américain ont donné lieu à près de 220 millions de dollars de paiements versés aux auteurs du ransomware « » . Ces attaques ne semblent pas près de s'atténuer.
Les organismes du secteur public ont beaucoup moins de chances de se défendre contre les cyberattaques lorsqu'ils travaillent de manière isolée. Mais lorsqu’ils unissent leurs forces pour élaborer une stratégie d’ e à l’échelle de l’État, impliquant à la fois les niveaux régional et local, en partenariat avec le secteur privé, la balance commence à pencher en leur faveur.
Ma récente nomination au poste de vice-présidente du Forum de l'État de New York de l' , (s'ouvre dans un nouvel onglet), une initiative de collaboration public-privé dans le domaine des technologies de l'information qui rassemble des agences d'État, des comtés et des villes, me confère une perspective unique sur la situation. Le groupe de travail sur la sécurité du forum a retenu l'approche « à l'échelle de l'État » comme thème central et recherche actuellement des intervenants pour animer des événements visant à informer, à favoriser la collaboration et à échanger des idées.
Surmonter les obstacles
La cybersécurité à l'échelle de l'État est une approche qui met l'accent sur la collaboration entre les différents ministères et organismes afin d'atténuer les menaces liées à la cybersécurité. En supprimant les cloisonnements au sein de l'administration, cette méthodologie permet aux entités de partager leurs ressources et leurs informations en matière de cybersécurité afin d'améliorer leur niveau de sécurité collectif.
Supposons qu'un département soit attaqué. Grâce à la mise en place d'une stratégie à l'échelle de l'État, le personnel chargé de la sécurité de l' et des opérations informatiques , réparti dans tout l'État, peut rapidement partager des informations sur la manière de protéger leurs organisations respectives et d'empêcher les attaques de s'installer.
L'un de mes principaux objectifs pour le Forum de l'État de New York est d'aider les organismes publics et privés à unir leurs forces pour relever des défis informatiques complexes. Du côté du secteur public, les participants comprennent les villes, les départements et l'État, ainsi que les établissements d'enseignement, les entités tribales et d'autres organisations du secteur public. Dans le secteur privé, nous comptons environ 90 entreprises membres, allant des plus petites start-ups aux plus grands intégrateurs de systèmes.
Ce forum est un lieu où les responsables informatiques et leur personnel peuvent collaborer et nouer des relations tout en s'attaquant à des problèmes complexes, tels que la mise en place d'un cadre d'identité unique pour l'ensemble des services de l'État et la protection contre des cyberattaques en constante évolution.
Cela dit, cette démarche n'est pas aisée. Dans un grand État comme celui de New York — qui compte 62 comtés, des centaines de villes et des dizaines d'organismes du secteur public —, j'ai constaté quatre défis majeurs à la mise en œuvre d'une approche à l'échelle de l'État.
1. Dépasser la politique
Certaines personnes pensent que la cybersécurité n'a rien de politique, que les réseaux sont au service de tous, quelle que soit leur appartenance politique. Et c'est vrai. Malgré tout, il arrive que les collectivités locales refusent l'aide de l'État en raison de divergences politiques. Mais cela peut changer rapidement lorsque les responsables gouvernementaux constatent que les départements voisins sont confrontés à des perturbations des services à la suite d'une attaque.
«Les organismes du secteur public ont beaucoup moins de chances de se défendre contre les cyberattaques lorsqu’ils travaillent de manière isolée. »
J'ai également constaté une certaine réticence à partager des informations concernant les vulnérabilités. Rares sont les entreprises qui souhaitent communiquer des informations sur une attaque par ransomware, de peur de servir d'exemple typique de ce qu'il ne faut pas faire pour protéger un réseau.
Une partie de ma mission au sein du forum consiste à contribuer à instaurer la confiance parmi les participants à notre stratégie à l'échelle de l'État : la confiance que les experts seront à l'écoute du personnel informatique local, que leur volonté de faire part de leurs échecs ne sera pas sanctionnée et que les informations seront partagées en toute transparence. Je souhaite instaurer un climat de confiance en rassemblant les gens et en les encourageant à travailler ensemble pour résoudre les problèmes qui nous concernent tous.
2. Attirer et fidéliser les talents
L'un des principaux défis auxquels sont confrontées les organisations du secteur public consiste à attirer et fidéliser les talents dans le domaine de la cybersécurité (s'ouvre dans un nouvel onglet). Selon la section consacrée à New York de la carte des pénuries de talents publiée par l’ , (s’ouvre dans un nouvel onglet) sur Cyberseek.org, plus d’un tiers de tous les postes dans le domaine de la cybersécurité dans l’État de New York ne sont pas pourvus, alors même que les analystes en sécurité de l’information débutants dans cet État peuvent gagner plus de 140 000 $ (s’ouvre dans un nouvel onglet) par an.
« Il existe un milieu parallèle de consultants qui travaillent de mission en mission en mettant à profit leurs compétences informatiques, en sélectionnant avec soin les meilleures opportunités offrant le meilleur tarif horaire », explique Kevin Carpenter, directeur principal du développement commercial chez MVP Consulting et ancien président de la table ronde des entreprises du secteur informatique du New York State Forum. « Pendant la pandémie de Covid, alors que le télétravail devenait la norme, le fait de recruter des talents en dehors de sa région a permis d’accéder à des expériences et à des compétences qui n’étaient pas disponibles auparavant. » « À l’heure où nous entrons dans l’ère post-pandémique, une grande partie de ces talents a décidé : “Non, je ne veux plus rester assis derrière un bureau à Albany comme avant”, et ils démissionnent en masse. »
Même les professionnels de la cybersécurité les plus altruistes choisiront ce qui est le mieux pour leur carrière et leur famille. Si le secteur public n'est pas en mesure de répondre à leurs besoins, les talents iront voir ailleurs. L'un des avantages d'une stratégie à l'échelle de l'État réside dans le fait qu'en collaborant, les petites entités du secteur public peuvent avoir accès à des experts en cybersécurité hautement qualifiés, sans avoir à les embaucher.
3. Parvenir à la normalisation
Un autre défi réside dans l'absence d'harmonisation entre la plupart des États quant aux moyens qu'ils mettent en œuvre pour se défendre contre les cybercriminels. Il est évident qu'il n'existe pas de méthode unique pour garantir la cybersécurité. Mais ces rencontres permettent aux participants de définir des normes unifiées , notamment concernant les compétences à rechercher lors du recrutement, la manière de cartographier la surface d'attaque de chaque organisation et la manière de collecter les données relatives aux attaques. Si votre État compte 50 façons différentes de faire une chose, il devient beaucoup plus difficile d'agir rapidement — voire d'agir tout court.
Le secteur privé a un rôle important à jouer dans l'élaboration des normes. Les meilleures entreprises technologiques s'associent au secteur public pour proposer des solutions pouvant être facilement intégrées à des systèmes hétérogènes.
4. Obtenir davantage de financements
La mise en œuvre d'une stratégie à l'échelle de l'État a un coût. Même si une grande partie du travail initial consiste à établir des relations et à instaurer la confiance, les organisations doivent, à un moment donné, mettre en place des outils et des technologies. Nous avons de la chance à New York, car l'État a alloué 61,9 millions de dollars aux mesures de cybersécurité dans le budget de l'État n° 2023 , ainsi que 30 millions de dollars supplémentaires pour aider les collectivités locales à mettre en place des cyberdéfenses de haute qualité. En octobre, la gouverneure Hochul a annoncé l'octroi d'une aide fédérale supplémentaire de 246 millions de dollars destinée à lutter, entre autres menaces, contre les cyberattaques visant le système électoral de l'État.
«[Grâce à une approche à l’échelle de l’État], les dirigeants ont accès à des compétences de haut niveau en cybersécurité sans avoir à augmenter leurs effectifs — et ils pourraient même réaliser des économies sur leurs primes d’assurance cyber. »
Les défenseurs de l'intérêt général à l'échelle de l'État peuvent également se tourner vers le projet de loi fédéral sur les infrastructures, d'un montant de 1,2 000 milliards de dollars, qui augmente les dépenses publiques en matière de cybersécurité de près de 2 milliards de dollars. Les collectivités publiques au niveau régional, local, tribal et territorial peuvent utiliser l' de financement pour mieux protéger les données sensibles et les infrastructures critiques, réagir plus rapidement aux intrusions en matière de cybersécurité et prendre d'autres mesures visant à renforcer leurs défenses cybernétiques. Les États qui établissent des relations entre leurs entités régionales et locales peuvent mettre en commun leurs ressources financières afin d'atteindre des objectifs communs.
Faire de l'approche « à l'échelle de l'État » une réalité
Par le passé, de nombreuses collectivités publiques se sont montrées réticentes à renforcer leur cybersécurité autant qu'il le fallait. La menace des attaques par ransomware a attiré leur attention, tout comme l'augmentation du coût de l' , notamment en matière de cyberassurance. Cette année, le comté de Clinton, dans l'État de New York, a déboursé près de 50 000 dollars pour sa couverture d'assurance cyber. L'assureur du comté a indiqué aux dirigeants de s'attendre à une prime estimée à 72 000 dollars pour 2023, soit une augmentation de près de 50 %.
Pour éviter de telles hausses astronomiques, les collectivités publiques ont tout intérêt à démontrer qu’elles prennent des mesures concrètes pour lutter contre les cyberattaques — et à disposer des données nécessaires pour étayer ces affirmations. Les établissements d'enseignement supérieur publics, les universités et les laboratoires bénéficiant de financements externes constatent également que de nombreux organismes de financement commencent à exiger ce type de justificatifs. En s'inscrivant dans le cadre d'une stratégie à l'échelle de l'État, les collectivités publiques peuvent apprendre à réduire leurs primes, par exemple en mettant en place une authentification multifactorielle, , une évaluation des risques et une collecte de données améliorée.
[À lire également : Voici comment les ransomwares mettent à mal le secteur de la cyberassurance]
À mesure que les organisations élaborent une stratégie à l'échelle de l'État, elles peuvent commencer par partager des pratiques élémentaires de cyberhygiène, telles que celles décrites sur , puis passer au partage d'outils et de technologies et collaborer à l'élaboration de stratégies de cyberdéfense. Enfin, ils peuvent s'entraider pour contrer les cyberattaques en temps réel. Dans le cadre de cette collaboration, les dirigeants ont accès à des compétences de haut niveau en matière de cybersécurité sans avoir à augmenter leurs effectifs — et ils pourraient même réaliser des économies sur leurs primes d'assurance cyber.
À l'heure actuelle, la nation est divisée, et cette division risque de nous empêcher de mettre en place une défense unifiée contre nos ennemis. Si notre pays était attaqué par une force militaire conventionnelle, nous mettrions de côté nos divergences politiques et travaillerions ensemble en tant qu'Américains. Les cyberattaques auxquelles nous sommes confrontés dans les secteurs public et privé, à tous les niveaux de l'administration, constituent en réalité une forme de guerre moderne .
Pour faire face à des menaces qui ne cessent de s'intensifier, les responsables de la sécurité des organismes du secteur public d'un État doivent se réunir avec leurs homologues — du niveau le plus bas au plus haut — afin de s'écouter mutuellement, de s'entraider et de tisser des liens. Si la technologie revêt une grande importance, un esprit de collaboration est encore plus essentiel. En adoptant une stratégie à l'échelle de l'État, les dirigeants peuvent accélérer leur cheminement commun vers un dispositif de sécurité solide, capable de faire face aux menaces qui se profilent.
