Frank Cilluffo a appris à se pencher sur les aspects politiques dont peu de gens ont même connaissance.
Il a été conseiller principal auprès de Tom Ridge, le premier directeur du Bureau de la sécurité intérieure, après les 11/09 attaques. Il dirige le McCrary Institute for Cyber and Critical Infrastructure Security de l’Université d’Auburn. Il est également membre de la Cyberspace Solarium Commission (CSC), l’organisme intergouvernemental visant à protéger les États-Unis contre les cyberattaques.
Cilluffo et le CSC se sont avérés influents. Vingt-cinq des recommandations du groupe se sont frayées un chemin vers la loi sur l’autorisation de la défense nationale pour l’exercice fiscal 2021, qui a été promulguée en janvier. À la suite de la récente violation de SolarWinds et de la récente attaque par rançongiciel sur Colonial Pipeline, Cilluffo et le CSC sont devenus essentiels pour les décideurs politiques et les DSI d’entreprise à la recherche de conseils.
[Lire également : la cyberinfrastructure américaine est cassée]
Une grande partie du travail de Cilluffo à l’Institut McCrary se concentre sur la recherche conçue pour renforcer la cybersécurité dans les secteurs privé et public, et pour élaborer des politiques qui protègent l’infrastructure critique des États-Unis.
Cilluffo a participé à un panel lors de la conférence RSA 2021 pour discuter de ce qui est nécessaire pour améliorer la posture de cybersécurité du pays. Il a rencontré Endpoint à l’avance pour discuter de sa collaboration avec le Congrès et les agences exécutives afin de faire des recommandations de CSC une réalité nationale.
Comment votre commission influencera-t-elle la cybersécurité aux États-Unis ?
L’un des grands problèmes de cybersécurité est la sensibilisation à la situation. L’un de nos grands efforts est donc ce que nous appelons l’environnement de cybercollaboration commun. C’est un partenariat public-privé. Nous en parlons depuis des années, mais quelles sont vraiment les mesures opérationnelles que vous pouvez prendre pour y parvenir ?
« L’un des grands problèmes de cybersécurité est la connaissance de la situation. »
Pour cet effort, nous commençons par les infrastructures critiques, les secteurs de la ligne de vie où un incident de cybersécurité pourrait avoir un impact catastrophique sur la santé et la sécurité publiques, la sécurité économique ou la sécurité nationale. C’est un concept de base de données. Il s’agit d’un environnement basé sur le cloud recueillant des données auprès du gouvernement fédéral et de certaines des infrastructures les plus critiques, appelées « infrastructure critique systémiquement importante » (SICI) groupées.
Comment prévoyez-vous de vous déplacer dans le secteur privé hésitant à partager des données ?
L’une des idées qui gagnent du terrain actuellement est la codification d’un cyber-état de détresse. Pensez à la reprise après sinistre : nous avons besoin de la même chose pour la cyber-sécurité, en particulier lorsqu’il s’agit de partenaires étatiques, locaux, tribaux et territoriaux. Ces entités assument le même risque que les nourriciers, et elles sont terriblement en retard dans leurs capacités. Je pense que cela ressemble à une déclaration de sinistre de la FEMA en cas de catastrophe naturelle. De la même manière que les municipalités ont besoin d’une assistance fédérale à ces moments-là, les cyberincidents nécessitent également un financement pour fournir une assistance technique et des ressources pour s’étendre en cas d’incident.
Vous attendez-vous à ce que les avantages se répercutent sur le secteur privé ?
Absolument. Comme pour une catastrophe naturelle, en fin de compte, vous verrez Verizon, AT&T et d’autres personnes au cœur d’une réponse, simplement pour maintenir des communications cruciales.
« Nous voulons établir un rôle de niveau ambassadeur pour la cyber diplomatie. »
L’une de nos recommandations que la Chambre a déjà adoptées était d’avoir une loi sur la cyber diplomatie élevant le rôle du Département d’État dans les cyber-réponses. Nous voulons établir un rôle de niveau ambassadeur.
Nous avons cédé le champ de cybercriminalité international, qui est désormais entièrement exploité par la Russie et la Chine. Je ne dirai jamais que nous devrions céder notre intérêt national, mais nous devons trouver des moyens de mieux travailler avec nos alliés pour repousser [comme] l’aspiration 5G de Huawei.
Qui paie pour une cybersécurité plus robuste dans les secteurs public et privé ?
Nous étudions la viabilité de la création d’un groupe d’investissement public-privé pour la sécurité nationale afin d’attirer des capitaux privés pour les investissements. Nous avons toutes sortes d’impasses qui ont permis à d’autres nations, avec des intentions différentes de nous, de saisir des opportunités dans le financement de capital-risque en phase précoce pour les technologies. Nous devons recommencer à délocalisationr certaines de ces technologies. Qu’il s’agisse des composants les plus critiques, tels que les puces, nous devons les ramener.
Cela étant dit, je ne me soucie pas de la sécurité ou de la robustesse de votre réponse. Si vous avez des vulnérabilités potentielles dans le matériel, cela l’ouvre à l’exploitation. Nous devons ramener cette technologie afin d’avoir une plus grande confiance dans nos chaînes d’approvisionnement, nos produits et nos composants.
Comment les États-Unis devraient-ils repousser les cybercriminels et les États-Unis qui travaillent ensemble ?
La commission est morte lorsqu’on essaie de faire progresser un Bureau de la cyberstatistique. De cette manière, nous pouvons disposer de données et de statistiques actuarielles pour pouvoir définir en fin de compte des réponses et des outils de cybersécurité intelligents. Il existe également un soutien pour des dispositions telles qu’un Centre d’assistance et de récupération des victimes de cybercriminalité. En fin de compte, les personnes ne savent toujours pas qui appeler après un incident. Qui se soucie si nous gagnons le jeu « Inside-the-Beltway » si nous n’aidons pas le citoyen moyen ?
Après des piratages comme SolarWinds, comment la chaîne d’approvisionnement logicielle peut-elle être protégée sans entraver la productivité ?
Nous appelons à un Centre national de renseignement sur la chaîne d’approvisionnement. Encore une fois, nous ne parlons pas seulement du gouvernement, mais également de l’intégration dans le secteur privé afin d’avoir une visibilité. Désormais, chaque fois qu’un événement se produit, nous sommes en mode de lutte contre les incendies. Ce n’est pas une approche durable. Nous devons avoir une plus grande visibilité sur l’ensemble de nos chaînes d’approvisionnement, en nous concentrant évidemment sur les secteurs et fonctions les plus critiques. Nous ne pouvons pas réagir constamment et adopter une approche tactique à un problème stratégique.
« Les entreprises doivent nous aider à définir les voies à suivre, car elles sont en première ligne de cette guerre. »
Nous avons besoin de visibilité, et nous ne l’avons tout simplement pas maintenant. Nos recommandations doivent inclure le secteur privé. Les entreprises doivent nous aider à définir les voies à suivre, car elles sont en première ligne de cette guerre. Peu d’entreprises pensaient devoir se défendre contre les services de renseignement étrangers.
Il existe des capacités très uniques que le gouvernement fédéral peut apporter, y compris des renseignements provenant de plusieurs sources. Mais ils ne sont en aucun cas la panacée. Les entreprises doivent prendre tous ces concepts et les rendre réels.
