Après que des cybercriminels ont piraté le plus grand gazoduc des États-Unis, provoquant son arrêt pendant plusieurs jours et semant la panique parmi les marchés de l'énergie et les consommateurs, une chose était certaine : les infrastructures critiques du pays — ainsi que les technologies qui les protègent et assurent leur fonctionnement — présentent de graves failles.
L'attaque par ransomware contre Colonial Pipeline, qui a contraint l'entreprise à fermer ses 5 500 miles de pipeline pendant plusieurs jours, a provoqué une flambée des prix de l'essence, poussé 17 États à déclarer l'état d'urgence et incité les habitants du Sud-Est à se livrer à des achats de panique .
Le président Biden a récemment publié un décret très attendu intitulé « » ( ) visant à renforcer les défenses du gouvernement fédéral en matière de cybersécurité. Elle prévoyait notamment de nouvelles normes de sécurité pour les fournisseurs de logiciels fédéraux ainsi que la création d'une commission fédérale chargée d'examiner les incidents cybernétiques.
L'attaque contre Colonial Pipeline n'est que la dernière en date à viser les services publics, les hôpitaux ainsi que les administrations locales et fédérales américaines. Le problème, selon Matthew Masterson, chercheur en politiques publiques à l’Observatoire de l’Internet de Stanford de l’ et ancien conseiller principal au sein de l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) du Département de la Sécurité intérieure, est que ces entités constituent des cibles faciles.
« Les systèmes et les logiciels qui soutiennent les infrastructures essentielles de notre pays doivent être modernisés à bien des égards », déclare M. Masterson. Son conseil : « Qu'il s'agisse des systèmes informatiques au niveau régional et national, des serveurs des petites entreprises qui soutiennent les forces de l'ordre ou des logiciels utilisés dans les hôpitaux, c'est maintenant qu'il faut investir. »
«Les systèmes et les logiciels qui soutiennent les infrastructures essentielles de notre pays doivent être mis à niveau à de nombreux égards. »Matthew Masterson, Observatoire Internet de Stanford
Les experts en sécurité informatique estiment que ces lacunes dans l'infrastructure numérique ne cessent de s'aggraver. Cela laisse davantage de possibilités aux cybercriminels de s'introduire dans ces systèmes critiques, d'exfiltrer ou de modifier des informations, et de détourner ou de paralyser les opérations. Au-delà d'une simple perturbation de la vie quotidienne, ces failles peuvent avoir des conséquences graves, voire une question de vie ou de mort.
Pensez à ces attaques récentes. En avril, des pirates informatiques ont lancé une attaque par ransomware de type « » contre le service de police de Washington, D.C., menaçant de divulguer l'identité d'informateurs sous couverture. En février, des pirates informatiques ont attaqué une station d'épuration en Floride et ont tenté d' empoisonner le réseau d'approvisionnement en eau. Au cours des deux dernières années, des pirates informatiques ont frappé au moins huit villes, dont Atlanta, Baltimore et La Nouvelle-Orléans, paralysant les services et les infrastructures, ce qui a entraîné des coûts de réparation s'élevant à plusieurs millions de dollars.
« Le déploiement massif et destructeur de logiciels rançonneurs au niveau des États, des comtés et des villes a constitué un signal d’alarme incitant à investir dans les infrastructures de cybersécurité », déclare M. Masterson, soulignant que de nombreuses collectivités ne disposent pas des ressources nécessaires pour mener à bien leurs mises à niveau numériques ou ont reporté ces projets au profit d’autres dépenses.
«Les cybercriminels s’attaquent désormais aux infrastructures des petites villes. »
Les cybercriminels, quant à eux, suivent le mouvement et se tournent désormais vers les infrastructures des petites villes. Et ils savent reconnaître une proie facile quand ils en trouvent une. « Les pirates informatiques s'attaqueront à ces cibles à plusieurs reprises, sachant qu'ils ont de fortes chances d'être payés encore et encore », explique M. Masterson. Heureusement, il existe des mesures que les DSI peuvent prendre dès aujourd’hui pour prévenir ou atténuer les attaques de demain.
Combler le déficit de compétences
Les technologies numériques ont apporté de nombreux avantages aux infrastructures du pays. Les logiciels ont permis d'améliorer la fiabilité de l'approvisionnement en énergie grâce à l'équilibrage automatisé de la charge. L'intelligence artificielle a permis d'améliorer les performances des barrages hydroélectriques d' . L'automatisation a permis d'accroître la productivité et a permis aux travailleurs essentiels, du secteur de la santé à celui de l'industrie manufacturière, de se concentrer sur des tâches à plus forte valeur ajoutée, ce qui renforce la satisfaction professionnelle des salariés et améliore les résultats de l'entreprise.
Mais la numérisation a un coût. Jim McKenney, directeur technique d’ au sein du cabinet de conseil en sécurité informatique NCC Group, affirme qu’à mesure que l’automatisation s’intensifie, les collaborateurs nécessaires à la gestion de systèmes volumineux, complexes et essentiels à la mission se retrouvent laissés pour compte. « Les connaissances et les compétences nécessaires à la réalisation de tâches élémentaires, telles que le dépannage ou la maintenance des infrastructures, quelle que soit la technologie utilisée, sont en train d’être rendues obsolètes par la promesse de la transformation numérique », explique M. McKenney.
[À lire également : La nouvelle génération de la cybersécurité]
Ce n'est un secret pour personne que les États-Unis sont freinés par un déficit de compétences en cybersécurité qui entraînera cette année 500 000 postes vacants dans le secteur des technologies, selon l'étude « » de l'Aspen Institute. Alors que le recrutement pour ces postes bat son plein dans les établissements d’enseignement supérieur proposant des cursus de quatre ans, les organisations les plus matures, qui accordent la priorité à la sécurité, élargissent leur champ de recherche et font appel à des travailleurs «new collar » qui possèdent des compétences de base, afin de les former pour en faire les futurs talents du cyber-sécurité.
De nombreuses entreprises cherchent également à diversifier leurs effectifs et se tournent vers des organisations telles que « », « Black Girls Code », « », « The Diana Initiative » et l’« Executive Women’s Forum » de l’ afin d’identifier et de former un groupe diversifié de travailleurs qualifiés. Certains se tournent vers l'autre extrémité de l'échelle hiérarchique et embauchent des travailleurs plus âgés qui se sont éloignés de leur métier et peuvent être reconvertis. Investir dans l'apprentissage et les programmes de mentorat peut permettre à ces travailleurs moins conventionnels d'atteindre rapidement le niveau requis.
Dépensez de manière proactive
Chaque fois qu'il se passe quelque chose de grave, on dit souvent : « Suivez la piste de l'argent. » En matière de cyberattaques, la règle devrait être la suivante : suivez la piste de l'argent. Trop souvent, les projets informatiques et de sécurité sont relégués au second plan au profit d'autres initiatives que tout le monde peut voir et sur lesquelles tout le monde s'accorde. « Le financement est toujours un problème », déclare Michael Bahar, avocat , ancien conseiller juridique adjoint au Conseil de sécurité nationale de la Maison Blanche et co-responsable du pôle international dédié à la cybersécurité et à la protection des données chez Eversheds Sutherland.
De nombreux DSI et RSSI sortent d'une année marquée par des succès sans précédent en matière d'organisation et de sécurisation du télétravail. Mais beaucoup sont également confrontés à une réduction de leurs budgets, notamment au sein des administrations publiques et des organismes chargés des infrastructures. Pour prendre le pas sur les acteurs malveillants, les organisations doivent trouver des moyens d’ , d’investir dans les initiatives et les technologies qui permettront de protéger leur infrastructure numérique. Au premier rang de ces projets figure l'investissement dans la gestion des actifs sur des plateformes hybrides de cloud public et privé.
«Le financement des technologies de l’information et de la sécurité est toujours un sujet sensible. »Michael Bahar, responsable du pôle cybersécurité chez Eversheds Sutherland
Dans l'ensemble, l'infrastructure souffre d'un manque de visibilité, et la gestion de multiples plateformes cloud vient compliquer une situation déjà floue : les entreprises ne peuvent pas protéger ce qu'elles ne voient pas. Ils peuvent y voir plus clair grâce aux plateformes de détection et de réponse aux incidents sur les terminaux ( ) ainsi qu’aux fonctionnalités de surveillance.
[À lire également : Il est temps de ne plus se contenter de données de mauvaise qualité]
Cependant, selon Bahar, la cybersécurité ne doit pas nécessairement être coûteuse ni nécessiter la création d'un nouveau poste budgétaire. Les entreprises qui gèrent des infrastructures critiques — qu'il s'agisse des secteurs de l'énergie, de la santé, de la banque ou de l'eau — doivent consacrer du temps à réaliser leurs propres évaluations des risques et des vulnérabilités. Cela implique notamment d'évaluer les fournisseurs auxquels ils font appel et de s'engager dans un partage constructif d'informations sur les cybermenaces.
« Souvent », ajoute-t-il, « la solution aux problèmes de haute technologie est en réalité très simple. » À titre d'exemple, Bahar souligne que l'on sait que des pirates informatiques ciblent parfois l'éclairage des salles de contrôle énergétique afin de perturber les opérations. La solution peu coûteuse : des lampes de poche à piles, afin que le personnel de la salle de contrôle ne se retrouve pas (au sens propre comme au figuré) dans le noir.
Adoptez de bonnes pratiques en matière de sécurité informatique
Des études montrent que le manque de bonnes pratiques en matière de cybersécurité rend 90 % des entreprises vulnérables aux piratages. En mettant en place des pratiques d'hygiène numérique, telles que l'abandon des systèmes obsolètes et l'application régulière de correctifs logiciels , les opérateurs d'infrastructure peuvent réduire leur risque de violation de données.
Parmi les autres mesures essentielles, citons la création de mots de passe utilisateur robustes , l'utilisation de l'authentification multifactorielle , ainsi que l'adoption d'un modèle « zero-trust », dans lequel chaque appareil doit prouver son authenticité à chaque fois qu'il tente de se connecter à votre réseau.
Il est également essentiel de bénéficier d'une visibilité et d'un contrôle sur votre réseau, qui comprend les milliers d'appareils et de terminaux — des PC aux machines virtuelles dans le cloud — qui se connectent à votre système. Masterson recommande un suivi précis des performances et une gestion rigoureuse de la configuration de tous les terminaux. Il suggère également de « veiller à la segmentation du réseau et d'investir dans les capacités d'intervention ». Il a pu constater de près les conséquences de l'inaction dans ces domaines. Lorsqu’il explique que ses équipes de la CISA ont réalisé des tests d’intrusion pour le compte d’entités régionales et locales, il précise : « C’étaient là les types de failles que nous constations être exploitées. »
Misez sur les relations humaines, et pas seulement sur la technologie
L'infrastructure numérique américaine repose sur certaines des technologies les plus de pointe au monde. Malheureusement, comme le souligne Maître Bahar, spécialiste du droit numérique, ils sont « vulnérables et les conséquences sont considérables ».
C'est pourquoi lui-même et d'autres estiment que les DSI des secteurs public et privé doivent collaborer — ce que vise à mettre en œuvre le décret présidentiel de M. Biden sur la cybersécurité — afin de contribuer à identifier les vulnérabilités logicielles à un stade précoce et aussi rapidement que possible. Ce n'est qu'ainsi qu'ils pourront contribuer à prévenir ce type de perturbation affectant des systèmes vitaux tels que le Colonial Pipeline.
« Une collaboration entre les organisations civiles, les organismes publics et le secteur de la cybersécurité est nécessaire », déclare Om Moolchandani, RSSI et directeur de la recherche chez Accurics, une entreprise spécialisée dans la sécurité du cloud . Ce n'est qu'en y parvenant, dit-il, que nous pourrons éviter les failles affectant les réseaux électriques, les écoles, les stations d'épuration et d'autres infrastructures critiques.
