Repensez aux premiers jours de la pandémie. Les gouvernements d’État et locaux ont immédiatement intensifié les services essentiels en ligne le plus rapidement possible, pour aider les gens à localiser des choses telles que les vaccins, les tests, la garde d’enfants et les prestations de chômage. À l’époque, je faisais partie du Département de l’administration de l’Arizona et j’ai vu directement l’urgence de lancer des services critiques.
Envisagez par exemple des avantages sociaux en matière de chômage. Tout d’un coup, nous avons eu un afflux massif de personnes sans emploi ayant désespérément besoin d’aide, ce qui a submergé les systèmes existants parfois écrits dans des langages de programmation vieux de plusieurs décennies.
De manière générale, les gouvernements ont fait un travail héroïque pour répondre à la crise. Mais les travailleurs informatiques du gouvernement d’État n’ont pas toujours été en mesure de sécuriser soigneusement de nouveaux sites ou services en ligne, ou de les examiner pour protéger les données personnelles précieuses que ces systèmes contiennent. Cela a ouvert de grandes failles de sécurité que les pirates informatiques se sont empressés d’exploiter.
Au moins 79 attaques de ransomware ont ciblé des entités étatiques, locales et tribales en 2020, selon les chiffres les plus récents disponibles. Les attaques ont entraîné des temps d’arrêt dans 30 États et ont touché 71 millions de citoyens, selon un rapport du site de sécurité des consommateurs Comparitech.
Certains des plus grands dangers impliquaient des applications tierces. Certains étaient sur des systèmes existants qui sont difficiles à corriger. Les agences d’État ont une ancienne architecture et infrastructure, regroupées depuis des décennies, et elles ne savent pas comment un nouvel outil va réagir dans cet environnement jusqu’à ce qu’elles commencent à l’utiliser.
Souvent, les agences sont connectées via un réseau partagé. Mais les réseaux ne sont aussi sûrs que leur maillon le plus faible. Même si un service effectue tous les correctifs et l’ hygiène informatique qu’il doit faire, il reste vulnérable si la prochaine agence n’a pas fait son travail.
Et de nombreux gouvernements étatiques et locaux ne savent même pas combien de systèmes ils possèdent, ou à quoi ils sont connectés. Je connais une agence de l’État de l’Arizona qui a procédé à une rénovation, mais qui a laissé certains ordinateurs branchés et connectés à l’ancien réseau, et qui a littéralement construit des murs autour d’eux. Jusqu’à ce que nous disposions de services modernes de protection des endpoints, personne ne savait qu’ils étaient là. Et cela les rendait évidemment impossibles à sécuriser.
Imaginez essayer de sécuriser votre maison, mais vous ne savez pas combien de portes et de fenêtres vous avez, ou lesquelles peuvent rester ouvertes. Si vous ne vous dérangez pas pour comprendre vos vulnérabilités de sécurité, il n’est pas difficile pour les criminels d’entrer et de prendre ce qu’ils veulent.
Un manque de professionnels de la cybersécurité
C’est rafraîchissant de voir que les gouvernements d’État et locaux prennent enfin leur souffle et mettent de nouveau l’accent sur la cybersécurité. Malheureusement, ils sont sous-effectifs, souvent à un degré choquant. Il y a une pénurie d’employés à tous les niveaux en matière de cybersécurité. De nombreux gouvernements n’ont tout simplement pas les personnes pour faire le travail.
« Je connais une agence d’État qui a laissé des ordinateurs branchés et qui a littéralement construit des murs autour d’eux. Personne ne savait qu’ils étaient là. »
Ils ne savent même pas combien de personnes ils ont. Par exemple, en Arizona, nous n’avions pas de personnel de cybersécurité centralisé. De grandes agences, comme le ministère des Transports de l’État, avaient leurs propres équipes. Lorsque je suis devenu administrateur du programme de sécurité d’entreprise en charge de la cybersécurité en Arizona, nous voulions savoir combien de cyberprofessionnels travaillaient pour l’État. Nous avons demandé à l’équipe des RH de l’État plusieurs fois. Et la réponse que nous avons reçue était : « Nous n’avons aucune idée. »
Les intitulés de poste peuvent être très vagues et peuvent être différents selon les agences. Dans certains endroits, les personnes invitées à couvrir la cybersécurité n’avaient pas d’expérience ou de formation formelle. Ils faisaient tout ce qu’ils pouvaient.
Pendant ce temps, les équipes gouvernementales de cybersécurité travaillent plus d’heures pour obtenir moins de rémunération qu’une entreprise privée. Les travailleurs pourraient obtenir un emploi dans le secteur privé en un clin d’œil et doubler leur salaire.
Et la pression sur eux est énorme. Ils protègent les « joyaux de la couronne ». Les gouvernements d’État et locaux disposent de certaines des données les plus attrayantes pour les pirates informatiques : noms, numéros de sécurité sociale, dates de naissance, adresses, informations de compte bancaire, dossiers médicaux. C’est comme un buffet à volonté pour les cybercriminels. Les équipes en sous-effectif travaillent dur chaque jour pour protéger les données sensibles, mais elles sont fatiguées et submergées.
Dans tout le pays, j’ai vu une attention renouvelée à l’apport de plus de ressources et de personnes. Lorsque j’étais en Arizona, nous avons lancé un programme de stage universitaire pour attirer des talents. Nous avons placé des stagiaires dans notre Cyber Command Center et les avons également tournés autour de différentes équipes de cybersécurité pour leur offrir une expérience complète. Nous avons également parlé aux étudiants des lycées de la cybersécurité et leur avons donné des visites de Cyber Command. Et pendant que nous faisions cela, nous nous sommes efforcés de combler l’ écart entre les sexes dans l’informatique en parlant aux filles de leurs options de carrière sur le terrain.
Renforcer le rôle de la cybersécurité au sein du leadership
Les États reconnaissent enfin l’importance de la cybersécurité. L’Arizona et le New Jersey ont déplacé le poste de RSSI de sous le DSI, par exemple. Le RSSI de l’Arizona dirige le Département d’État de la sécurité intérieure, tandis que le RSSI du New Jersey fait partie du Bureau de la sécurité intérieure et de la préparation de l’État.
« Nous voulions savoir combien de cyberprofessionnels travaillaient pour l’État. La réponse que nous avons reçue était : « Nous n’avons aucune idée ».
Ces changements sont importants car les DSI sont responsables de faire avancer les choses et d’obtenir des services. Mais les RSSI sont responsables d’arrêter les choses qui ne sont pas sécurisées. Les deux leaders peuvent faire face à des priorités contradictoires. En séparant le RSSI du DSI, les gouvernements peuvent créer cette séparation des fonctions.
Doug Ducey, gouverneur de l’Arizona, a fait du RSSI un poste au niveau du cabinet qui lui est directement rattaché. Cela a mis la cybersécurité au même niveau que la fourniture de services d’urgence, de timbres alimentaires et de tout ce que l’État offre. Je pense que le domaine en verra plus.
Les gouvernements doivent faire de la cyberhygiène une priorité
Un nouveau financement fédéral est disponible pour aider les États et les entités locales, mais l’argent seul ne résoudra pas les problèmes. La façon dont vous dépensez ce que vous avez fait une grande différence.
« Les bons gars doivent avoir raison 100 % du temps. Les méchants n’ont besoin d’avoir raison qu’une seule fois. »
Les gouvernements étatiques et locaux se tournent vers l’aide extérieure. Ils cherchent à remplacer leurs solutions ponctuelles obsolètes pour chaque type de vecteur de menace par des plateformes facilement extensibles. Grâce aux solutions d’endpoints modernes et évolutives de Tanium, l’Arizona a pu corriger environ 326 000 vulnérabilités dans un délai de 72 heures. C’était plus que ce que nous avions pu faire au cours des six derniers mois, après notre départ à distance.
La situation à laquelle nous avons été confrontés en Arizona est similaire à ce qui existe dans d’autres gouvernements étatiques et locaux. Mais les gens ne comprennent pas les défis auxquels ils sont confrontés. Je demande parfois : « Quel est votre niveau de confiance dans votre application de correctifs ? » Et les dirigeants répondent : « Nous sommes probablement à 95 % corrigés. » Ensuite, nous examinons leur réseau et découvrons qu’ils sont effectivement corrigés à 95 % sur ce qu’ils peuvent voir, mais qu’ils ne sont pas corrigés sur au moins 30 % des endpoints qu’ils ne peuvent pas voir.
En résumé : vous ne pouvez pas protéger ce que vous ne voyez pas. Comment vous protégez-vous si vous ne savez pas quoi protéger ? Sans visibilité, vous ne pourrez jamais sécuriser votre environnement.
Après tout, les bons doivent avoir raison 100 % du temps. Les méchants peuvent prendre une journée de congé. Ils ne doivent avoir raison qu’une seule fois. Il est temps pour les gouvernements étatiques et locaux de prendre cet avertissement à cœur.
