Les cybercriminels ciblent les communes et autres collectivités locales, notamment parce qu'ils savent que ces organismes ne disposent pas des mêmes ressources que les grandes entreprises commerciales. Pour se prémunir contre ces attaques, un nombre croissant d'organismes territoriaux étudient les avantages d'une collaboration et de l'adoption d'une stratégie de cybersécurité à l'échelle de l'État.
Dans le cadre d’une stratégie de cybersécurité à l’échelle de l’État, intitulée « » ( ) (s’ouvre dans un nouvel onglet), le gouvernement de l’État collabore avec la Garde nationale locale, les communes, les établissements scolaires de la maternelle à la terminale, les entités tribales et d’autres organismes publics locaux afin d’élaborer des politiques de cybersécurité, d’apporter un soutien financier et des outils, de fournir des conseils et de partager des renseignements. Grâce à cette collaboration, les communes et autres collectivités locales, qui disposent généralement de moyens financiers et humains insuffisants pour assurer leurs missions en matière de cybersécurité, peuvent bénéficier des ressources et de l'expertise de leurs homologues de plus grande taille et mieux dotés en moyens.
Dans le premier article de blog de cette série, intitulé « » ( (s'ouvre dans un nouvel onglet)), j'ai présenté une vue d'ensemble des éléments qui composent une stratégie de cybersécurité à l'échelle de l'État. Cette stratégie repose sur trois axes :
- Gouvernance et élaboration des politiques
- Mise en œuvre
- Validation
Et dans mon précédent article (s'ouvre dans un nouvel onglet), j'ai présenté un aperçu de la phase de gouvernance et d'élaboration des politiques. Je vais maintenant aborder la mise en œuvre de cette stratégie, qui comprend les éléments suivants :
- Poursuivre la collaboration entre les équipes de gouvernance interorganisationnelles mises en place au cours de la phase de gouvernance de cette stratégie.
- Sélection, acquisition et déploiement d'ensembles d'outils de cybersécurité standard au sein de plusieurs organismes publics.
- Trouver des organismes privés dotés de solides compétences en matière de conseil pour vous aider à déployer et à configurer des outils de cybersécurité, ainsi qu'à mettre en œuvre des politiques de cybersécurité.
- Déterminer quelles politiques de cybersécurité mettre en œuvre en priorité.
- Faire connaître les réussites afin de consolider les relations interorganisationnelles et de mettre en avant l'intérêt de la collaboration.
Poursuivre la collaboration mise en place lors de la phase d'élaboration des politiques
Au cours de la phase d'élaboration des politiques, les organismes publics, les collectivités locales et d'autres acteurs ont collaboré afin de rédiger des politiques de cybersécurité susceptibles d'être harmonisées à l'échelle de l'État.
Au cours de cette phase de mise en œuvre, cette collaboration se poursuit. Désormais, des entités telles que le Service des immatriculations de l'État ou une commune ont la possibilité d'adapter leurs politiques à leurs besoins spécifiques et de faire part de ces besoins à l'équipe interorganisationnelle. Ils peuvent également partager leurs expériences en matière de résolution de problèmes de cybersécurité, afin que chacun ait l'occasion d'apprendre des autres.
Tout au long de ce processus, il est important que chaque organisme public participant comprenne que :
- L'équipe interinstitutionnelle formulera des recommandations, mais il incombe en dernier ressort à chaque entité gouvernementale d'adopter ses propres politiques et de les mettre en œuvre en fonction de ses besoins.
- Les organismes publics peuvent contribuer à la sélection, à l'achat et à la mise à disposition des outils informatiques, mais ils ne contrôlent pas leur utilisation au quotidien. Les différentes entités publiques, telles que les communes, ont le contrôle total des outils qu'elles utilisent pour surveiller, gérer et sécuriser leurs propres réseaux et autres ressources informatiques.
- Même si la responsabilité de l'utilisation des outils de cybersécurité incombe aux collectivités publiques, l'État peut contribuer à leur sélection et à leur achat à des tarifs de gros, afin de rendre l'acquisition d'outils modernes plus abordable pour toutes les collectivités publiques de l'État.
Outils d'achat au niveau de l'État
La manière dont les outils sont achetés et distribués constitue l'une des principales différences entre une approche de la cybersécurité à l'échelle de l'État et les approches ponctuelles qui ont prévalu par le passé.
Dans le cadre d'une stratégie à l'échelle de l'État, l'équipe de cybersécurité collaborative de l'État sélectionne des ensembles d'outils communs destinés à être déployés dans tout l'État. Les collectivités locales restent chargées d'utiliser ces outils pour gérer leurs propres réseaux et leur personnel. Mais c'est l'État qui achète les outils, afin que chaque collectivité publique de l'État puisse bénéficier de prix réduits et d'une harmonisation des outils.
Cette approche présente plusieurs avantages, notamment :
- Des coûts réduits
L'État achetant des outils informatiques en gros, il peut négocier des prix plus bas que ne le pourraient les différentes administrations publiques à titre individuel. - Allègement des exigences en matière d'audit
Au lieu que des centaines de services des achats agissent chacun de leur côté, l'ensemble des achats est géré par l'équipe des achats de l'État. Étant donné que le nombre d'achats diminue, il y a moins d'achats à contrôler pour s'assurer que les fonds sont correctement affectés. - Égalité
Étant donné que toutes les communes disposent des mêmes outils, personne n'est laissé pour compte ni contraint de se contenter de solutions moins satisfaisantes. - Une gestion rationalisée des services cloud
Si l'État décide d'acquérir des services cloud pour ses administrations publiques, il peut gérer ces services lui-même, plutôt que d'imposer aux communes et aux districts scolaires de relever les défis liés au suivi et à la gestion de ces nouveaux services. - Des processus standardisés et un meilleur partage de l'information
Les équipes informatiques de tout l'État utilisant les mêmes outils, elles peuvent appliquer les mêmes processus pour les tâches courantes de cybersécurité, telles que l'installation de correctifs. Ils peuvent également partager leurs bonnes pratiques et contribuer à la constitution d'une base de connaissances commune sur les menaces et les mesures à prendre pour y remédier.
Reconnaître l'importance des fournisseurs et des partenaires privés
Les fournisseurs informatiques jouent un rôle essentiel dans la réussite de toute stratégie à l'échelle de l'État, et pas seulement en raison de leurs produits.
Lorsque des entreprises commerciales acquièrent des outils informatiques, elles disposent d'équipes de communication internes qui peuvent diffuser des informations sur ces outils, proposer des formations et faciliter l'adoption globale de la nouvelle technologie.
Les organismes du secteur public disposent rarement de ces ressources. Les fournisseurs peuvent contribuer à combler cette lacune en proposant des services de conseil et de formation afin de garantir la réussite de la mise en place d'une nouvelle suite d'outils.
Par exemple, un prestataire qui est un bon partenaire peut contribuer aux efforts de sensibilisation menés par l'ensemble des organisations participant à la stratégie à l'échelle de l'État. Le fournisseur pourrait même contribuer à la création d'une documentation personnalisée et intégrée pour les différents outils sélectionnés dans le cadre de la stratégie à l'échelle de l'État, afin que les équipes informatiques de tout l'État puissent trouver toutes les informations dont elles ont besoin en un seul et même endroit.
La formation et la documentation revêtant une importance capitale pour la mise en œuvre des projets, lorsque les organismes publics évaluent des fournisseurs informatiques, ils devraient examiner leurs capacités en matière de formation et de conseil au même titre que leurs solutions logicielles et matérielles. Les États devraient veiller à ce que la formation, la documentation et toute autre communication nécessaire soient fournies dans le cadre de l'achat, afin que les petites équipes informatiques, déjà surchargées de travail, n'aient jamais à se débrouiller seules pour maîtriser de nouveaux outils.
Si un État a harmonisé ses outils de cybersécurité et que les fournisseurs de ces outils ont élaboré des supports de formation utiles à l'intention des organismes publics de l'État, ces supports peuvent être partagés entre tous les organismes participant à la stratégie à l'échelle de l'État. Les fournisseurs ont bien sûr tout intérêt à veiller à ce que ces documents soient utiles et complets, puisque de nombreuses administrations publiques comptent sur eux.
L'importance de la communication pour la mise en œuvre d'une stratégie de cybersécurité à l'échelle de l'État
Dans ce métier, on ne communique jamais trop. Les équipes doivent travailler en toute transparence, et il convient de rappeler régulièrement aux parties prenantes les prochaines étapes et les exigences à respecter. Une communication régulière concernant les décisions, les achats, les formations, etc. contribuera à susciter l'enthousiasme pour l'ensemble du projet.
Cela dit, il est important de ne pas surcharger les membres de l'équipe. Les membres de l'équipe doivent procéder étape par étape, en gardant à l'esprit que toutes les personnes qui travaillent à l'élaboration d'une stratégie à l'échelle de l'État ont déjà un emploi à temps plein.
D'après mon expérience, les membres de l'équipe apprécient vraiment le soutien et le partage d'informations que leur apporte la participation à un programme comme celui-ci. Tout à coup, même les organismes publics disposant de budgets modestes bénéficient de nouveaux outils et reçoivent régulièrement des informations sur les menaces et les moyens de s'en prémunir. Ils savent faire la différence.
Lorsque l'État de l' , en Arizona, a mis en place un programme tel que celui-ci : (s'ouvre dans un nouvel onglet), il a fait du partage d'informations l'un des piliers de ce programme. Les organismes publics de tout l'Arizona échangent désormais des informations par l'intermédiaire du Centre de fusion de l'État. Ils ont également mis en place des canaux Slack pour faciliter la communication entre les différentes organisations. Ces canaux de communication permettent aux équipes de sécurité des administrations publiques de tout l'État de publier facilement, en toute sécurité et de manière anonyme, des informations concernant les indicateurs de compromission (IOC) qu'elles ont détectés, ainsi que d'autres renseignements utiles sur les menaces.
En ce qui concerne les renseignements sur les menaces, le gouvernement fédéral intègre désormais davantage d'informations utiles dans les flux de renseignements qu'il transmet à tous les États. Plus un État dispose de sources d'informations de haute qualité sur les menaces, plus son niveau de sécurité global sera élevé. Les équipes informatiques peuvent même automatiser les réponses à ces informations. Par exemple, il est possible d'intégrer des systèmes d'alerte aux pare-feu, de sorte que si des informations indiquant la présence d'une adresse IP dangereuse sont reçues, les règles du pare-feu puissent immédiatement bloquer cette adresse, assurant ainsi une protection immédiate.
En savoir plus
Dans cet article, j'ai présenté les grandes lignes de ce que comprend la phase de mise en œuvre d'une stratégie de cybersécurité à l'échelle de l'État. Dans un prochain article, j'aborderai la dernière étape de ce travail : la validation.
En attendant, si vous souhaitez découvrir comment la plateforme Tanium Converged Endpoint Management d' , (s'ouvre dans un nouvel onglet) , peut aider votre organisation à mettre en œuvre une stratégie de cybersécurité plus aboutie, n'hésitez pas à nous contacter.
