Repensez aux tout débuts de la pandémie. Les collectivités publiques régionales et locales ont immédiatement renforcé, aussi vite que possible, l'offre de services essentiels en ligne, afin d'aider les citoyens à trouver, par exemple, des vaccins, des tests de dépistage, des services de garde d'enfants et des allocations chômage. À l'époque, je faisais partie du Département de l'administration de l'Arizona et j'ai pu constater par moi-même l'urgence de mettre en place ces services essentiels.
Prenons l'exemple des allocations chômage, par exemple. Tout à coup, nous avons été confrontés à un afflux massif de chômeurs ayant désespérément besoin d'aide, ce qui a submergé les systèmes existants, parfois écrits dans des langages de programmation vieux de plusieurs décennies.
Dans l'ensemble, les gouvernements ont accompli un travail héroïque pour faire face à la crise. Cependant, les informaticiens de l'administration régionale n'ont pas toujours été en mesure de sécuriser de manière rigoureuse les nouveaux sites ou services en ligne, ni de les contrôler afin de protéger les précieuses données à caractère personnel que ces systèmes contiennent. Cela a entraîné d'importantes failles de sécurité sur , que les pirates informatiques se sont empressés d'exploiter.
Selon les derniers chiffres disponibles, au moins 79 attaques par ransomware de type « » ont visé des entités étatiques, locales et tribales en 2020. Ces attaques ont entraîné des interruptions de service dans 30 États et ont touché 71 millions de citoyens, selon un rapport du site spécialisé dans la sécurité des consommateurs Comparitech.
Certains des plus grands dangers concernaient les applications tierces. Certains fonctionnaient sur des systèmes hérités difficiles à mettre à jour patch. Les administrations publiques disposent d'une architecture et d'infrastructures obsolètes, mises en place au fil des décennies, et elles ne savent pas comment un nouvel outil va se comporter dans cet environnement tant qu'elles n'ont pas commencé à l'utiliser.
Souvent, les agences sont reliées entre elles par un réseau commun. Mais la sécurité d'un réseau dépend de son maillon le plus faible. Même si un service applique scrupuleusement toutes les mesures d'hygiène informatique (correctifs et ) qui lui incombent, il reste vulnérable si l'organisme suivant dans la chaîne n'a pas fait son travail.
Et de nombreuses collectivités territoriales et administrations locales ne savent même pas combien de systèmes elles possèdent, ni à quoi ceux-ci sont connectés. Je connais une agence de l'État de l'Arizona qui a procédé à des travaux de rénovation, mais qui a laissé certains ordinateurs branchés et connectés à l'ancien réseau — et qui a littéralement construit des murs autour d'eux. Avant l'apparition des services modernes de protection des terminaux, personne ne savait qu'ils existaient. Et cela les rendait évidemment impossibles à sécuriser.
Imaginez que vous essayiez de sécuriser votre maison sans savoir combien vous avez de portes et de fenêtres, ni lesquelles pourraient être restées ouvertes. Si vous ne prenez pas la peine de comprendre vos failles de sécurité, les malfaiteurs n'auront aucun mal à s'introduire chez vous et à emporter tout ce qu'ils veulent.
Une pénurie de professionnels de la cybersécurité
Il est réconfortant de constater que les collectivités territoriales et les autorités locales reprennent enfin leur souffle et accordent une importance renouvelée à la cybersécurité. Malheureusement, ces structures manquent de personnel, souvent à un point choquant. On constate une pénurie de personnel dans tous les domaines de la cybersécurité. De nombreux gouvernements ne disposent tout simplement pas du personnel nécessaire pour accomplir ce travail.
«Je connais une agence d’État qui a laissé ses ordinateurs branchés… et qui a littéralement construit des murs autour d’eux. » Personne ne savait qu’ils étaient là. »
Souvent, ils ne savent même pas combien de personnes travaillent chez eux. Par exemple, en Arizona, nous ne disposions pas d'une équipe centralisée chargée de la cybersécurité. Les grandes administrations, comme le ministère des Transports de l'État, disposaient de leurs propres équipes. Lorsque je suis devenu responsable du programme de sécurité de l'entreprise chargé de la cybersécurité en Arizona, nous avons souhaité déterminer combien de professionnels de la cybersécurité travaillaient pour l'État. Nous avons posé la question à plusieurs reprises à l'équipe des ressources humaines de l'État. Et la réponse que nous avons reçue était : « Nous n'en avons aucune idée. »
Les intitulés de poste peuvent être très vagues et varier d'une agence à l'autre. Dans certains endroits, les personnes chargées de traiter les questions de cybersécurité n'avaient ni formation ni expérience officielle dans ce domaine. Ils faisaient simplement de leur mieux.
Par ailleurs, les équipes gouvernementales chargées de la cybersécurité travaillent davantage d'heures pour une rémunération inférieure à celle qu'elles pourraient percevoir dans une entreprise privée. Les salariés pourraient trouver un emploi dans le secteur privé en un clin d'œil et doubler leur salaire.
Et la pression qui pèse sur eux est énorme. Ils protègent les « joyaux de la couronne ». Les administrations régionales et locales détiennent certaines des données les plus convoitées par les pirates informatiques : noms, numéros de Sécurité sociale, dates de naissance, adresses, coordonnées bancaires, dossiers médicaux. C'est comme un buffet à volonté pour les cybercriminels. Des équipes en sous-effectif travaillent d'arrache-pied chaque jour pour protéger les données sensibles, mais elles sont épuisées et débordées.
Partout dans le pays, j'ai constaté un regain d'intérêt pour le renforcement des ressources et des effectifs. Lorsque j'étais en Arizona, nous avons lancé un programme de stages universitaires afin d'attirer des talents. Nous avons affecté des stagiaires à notre centre de cybercommandement et les avons également fait tourner au sein de différentes équipes de cybersécurité afin de leur offrir une expérience complète. Nous avons également discuté avec des élèves du programme « » des lycées d’ , au sujet d’une carrière dans la cybersécurité, et leur avons fait visiter le Cyber Command. Et parallèlement à cela, nous nous sommes efforcés de réduire l'écart entre les sexes dans le secteur des technologies de l'information en discutant avec des jeunes filles de leurs perspectives de carrière dans ce domaine.
Renforcer le rôle de la cybersécurité au sein de la direction
Les États reconnaissent enfin l'importance de la cybersécurité. L'Arizona et le New Jersey ont, par exemple, retiré le poste de responsable de la sécurité des systèmes d'information (CISO) de la tutelle du directeur des systèmes d'information (CIO). Le responsable de la sécurité des systèmes d'information (RSSI) de l'Arizona dirige le Département de la sécurité intérieure de l'État, tandis que le RSSI du New Jersey relève du Bureau de la sécurité intérieure et de la préparation de l'État.
«Nous souhaitions savoir combien de professionnels de la cybersécurité travaillaient pour l'État. » La réponse que nous avons reçue était la suivante : « Nous n'en avons aucune idée. » »
Ces mesures sont importantes, car ce sont les DSI qui sont chargés d'assurer le bon fonctionnement des systèmes et de mettre les services à la disposition des utilisateurs. Mais les RSSI ont pour mission de mettre un terme aux pratiques qui ne sont pas sécurisées. Les deux dirigeants peuvent être confrontés à des priorités contradictoires. En dissociant les fonctions de RSSI et de DSI, les pouvoirs publics peuvent mettre en place cette séparation des fonctions.
Le gouverneur de l'Arizona, Doug Ducey, a en effet fait du poste de responsable de la sécurité des systèmes d'information (CISO) un poste de niveau ministériel relevant directement de lui. Cela a placé la cybersécurité au même niveau que les services d'urgence, les bons d'alimentation et tous les autres services fournis par l'État. Je pense que ce phénomène va se généraliser dans ce secteur.
Les gouvernements doivent faire de la cyberhygiène une priorité
De nouveaux financements fédéraux sont disponibles pour aider les États et les collectivités locales, mais l'argent à lui seul ne suffira pas à résoudre les problèmes. La manière dont vous dépensez ce que vous possédez fait toute la différence.
«Les gentils doivent avoir raison à 100 %. » « Il suffit que les méchants aient raison une seule fois. »
Les collectivités publiques régionales et locales font appel à des prestataires extérieurs. Ils cherchent à remplacer leurs solutions ponctuelles obsolètes, spécifiques à chaque type de vecteur de menace, par des plateformes facilement évolutives. Grâce aux solutions modernes et évolutives de gestion des terminaux ( ) de Tanium, disponibles sur , l'État de l'Arizona a pu corriger environ 326 000 vulnérabilités en l'espace de 72 heures. C'était plus que ce que nous avions réussi à faire au cours des six mois précédents, après être passés au télétravail à temps plein.
La situation à laquelle nous avons été confrontés en Arizona est similaire à celle que connaissent d'autres collectivités territoriales et administrations locales. Mais les gens ne comprennent pas les difficultés auxquelles ils sont confrontés. Je demande parfois : « À quel point avez-vous confiance dans vos corrections ? » Et les responsables répondent : « Nous sommes probablement à 95 % à jour. » Nous examinons ensuite leur réseau et constatons qu'ils ont effectivement appliqué tous les correctifs ( 95 %) sur les éléments qu'ils peuvent voir, mais qu'ils n'ont pas appliqué de correctifs sur au moins 30 % des terminaux qu'ils ne peuvent pas voir.
En résumé : on ne peut pas protéger ce qu'on ne voit pas. Comment pouvez-vous vous protéger si vous n'avez aucune idée de ce qu'il faut protéger ? Sans visibilité, vous ne pourrez jamais sécuriser votre environnement.
Après tout, les gentils doivent avoir raison à 100 %. Les méchants peuvent prendre un jour de congé. Il leur suffit d'avoir raison une seule fois. Il est temps que les collectivités territoriales et les administrations locales prennent cet avertissement très au sérieux.
