Ryan Murray adore quand un plan se déroule comme prévu.
En tant que directeur adjoint de la sécurité des systèmes d'information (CISO) de l'État de l'Arizona, M. Murray a eu fort à faire pour tenter de protéger les communautés, pour la plupart rurales, de l'État contre les menaces liées à la cybersécurité.
C'est ainsi qu'il y a trois ans, son service s'est donné pour mission de contribuer à la modernisation des systèmes locaux de cybersécurité, pour la plupart obsolètes et, dans certains cas, inexistants, en combinant des subventions fédérales et des contributions de l'État. Lors de rencontres avec les responsables du département, de la ville et des communautés autochtones, son équipe a identifié les besoins et les points sensibles afin de déterminer les domaines dans lesquels des améliorations s'imposaient le plus. Par la suite, lorsque des subventions ont été accordées par des organismes tels que le Département de la Sécurité intérieure (DHS), le bureau de M. Murray était prêt à les solliciter plus rapidement et plus efficacement.
Parallèlement, son équipe a pu tirer parti des informations recueillies auprès des responsables locaux pour acquérir, à prix réduit (dans le cadre de certains contrats-cadres de services conclus avec des fournisseurs et de contrats conclus avec l'État), des outils et services modernes de cybersécurité, puis mettre ces solutions à la disposition des collectivités locales en difficulté financière — gratuitement.
Selon M. Murray, ce modèle place l'Arizona en bonne position pour obtenir une part du milliard de dollars de financement consacré à la cybersécurité, qui est prévu dans le projet de loi bipartite sur les infrastructures que le président Biden a promulgué en novembre.
« Nous avons simplifié ces procédures, ce qui sera important étant donné que nous ne savons pas encore quand les fonds seront mis à disposition ni quelles seront les conditions à remplir », explique M. Murray.
Lutter contre le flou en matière de cybersécurité
Les responsables régionaux et locaux qui envisagent de solliciter leur part des fonds consacrés à la cybersécurité prévus par la loi sur les infrastructures auraient tout intérêt à suivre l'exemple de l'Arizona et à effectuer dès maintenant les démarches préparatoires nécessaires.
«Ce dont les États ont le plus besoin en ce moment, ce sont des directives de la CISA sur la manière dont ils peuvent dépenser ces fonds. »Alex Whitaker, directeur des affaires gouvernementales, NASCIO
En effet, même si tout le monde sait que l'argent va arriver, il n'y aura pas beaucoup de temps pour le récupérer. Ces fonds seront répartis sur quatre ans, à raison de 200 millions de dollars en 2022, 400 millions en 2023, 300 millions en 2024 et 100 millions en 2025.
L'Agence américaine de cybersécurité et des infrastructures (CISA) devait publier son avis d'appel à projets (NOFO) concernant la première tranche de financement au début de l'été, mais il semble que cette date puisse être repoussée à la fin de l'été. Cela signifie que les collectivités territoriales et les administrations locales pourraient disposer d'un mois, voire moins, pour remplir et soumettre leurs demandes, puisque le versement au titre de la ligne budgétaire 2022 est censé avoir lieu avant la fin de l'exercice budgétaire du gouvernement fédéral, le 30 septembre.
Remplir des formulaires administratifs est rarement une mince affaire. En effet, les obstacles sont nombreux.
Par exemple, la réglementation stipule que 80 % des fonds alloués doivent être versés aux collectivités locales, ce qui signifie que les États doivent disposer de mécanismes permettant d'y parvenir. Ils doivent également être prêts à apporter une contribution financière équivalente au montant de la subvention, à hauteur de 10 % en 2022 , puis en augmentant de 10 points de pourcentage chaque année jusqu'en 2025. Ils doivent en outre présenter des plans de cybersécurité précisant comment les fonds seront répartis et utilisés.
Étant donné que la CISA n'a pas encore défini publiquement comment ces fonds pourraient être dépensés — ni par qui —, il s'agit là, il faut bien l'admettre, d'un défi de taille. Mais de nombreux responsables informatiques (CIO) et responsables de la sécurité des systèmes d'information (CISO) progressistes au niveau des États vont de l'avant malgré tout.
« Ce dont les États ont le plus besoin à l’heure actuelle, ce sont des recommandations de la CISA sur la manière dont ils peuvent dépenser ces fonds », déclare Alex Whitaker, directeur des affaires gouvernementales de l’Association nationale des responsables informatiques des États (NASCIO). « Mais ils ne restent pas les bras croisés. » « Les personnes concernées travaillent actuellement à l'élaboration de leurs plans de cybersécurité et s'efforcent d'associer les acteurs locaux à cette réflexion afin d'identifier leurs besoins. »
Le financement fédéral en matière de cybersécurité en vaut la peine
« Tous les États ne seront pas intéressés par la recherche de financements pour les infrastructures », déclare M. Whitaker. Au final, il n'y aura qu'un milliard de dollars à répartir entre les 50 États sur une période de quatre ans. Et comme les États doivent apporter leur contribution sous forme de fonds de contrepartie s'élevant à plusieurs millions de dollars pendant cette période, certains pourraient en conclure que « cela n'en vaut pas vraiment la peine pour nous — que c'est tout simplement trop compliqué », ajoute-t-il.
Par ailleurs, comme le souligne M. Whitaker, il existe un « besoin considérable » au sein des administrations régionales et locales de moderniser leurs systèmes de sécurité informatique. Il précise que de nombreuses collectivités locales, en particulier, utilisent encore du matériel et des logiciels rudimentaires dont les fonctionnalités et les avantages en matière de sécurité sont dépassés depuis longtemps. D'autres ne mettent pas régulièrement à jour leurs systèmes clés ni n'y appliquent les correctifs nécessaires, ce qui les rend plus vulnérables aux ransomwares et à d'autres attaques malveillantes. D'autres encore ont recours à un mélange hétéroclite d'outils cloisonnés pour identifier l'emplacement des données et déterminer qui y accède. De plus, bon nombre d'entre eux ne disposent pas de contrôles d'identité et d'accès à jour, tels que l'authentification multifactorielle (MFA) , qui peuvent contribuer à pallier les faiblesses liées aux noms d'utilisateur et aux mots de passe.
Jennifer Pittman-Leeper, responsable de la relation client chez Tanium, affirme que la plupart des DSI et des RSSI des collectivités locales et des États savent que leurs systèmes de sécurité informatique ne sont pas à la hauteur : « Si les outils et les technologies actuels fonctionnaient vraiment pour les collectivités locales et les États, ils n’auraient pas besoin de cet argent », déclare-t-elle. « Ça ne marche pas, et ils le savent. »
À ce titre, ceux qui se détournent des possibilités de financement telles que les subventions en matière de cybersécurité prévues dans la nouvelle loi sur les infrastructures devraient y regarder de plus près.
« Ils doivent investir pour moderniser leurs technologies », déclare-t-elle. « Ces fonds fédéraux peuvent aider les États à passer à la vitesse supérieure, ce qui, pour certains, correspond simplement à un niveau de base. » « Il ne faut pas regarder les dents d’un cheval offert. »
Enlever le pansement de la cybersécurité d'un coup sec
Les organismes publics doivent « arracher le pansement d’un coup sec », affirme Mme Pittman-Leeper, et obtenir des financements partout où cela est possible afin de mieux comprendre leurs environnements complexes et commencer à les maîtriser.
«Ce n’est pas une baguette magique. » Mais c'est un début, et il faut bien commencer quelque part. »Jennifer Pittman-Leeper, responsable de la relation client chez Tanium
À l’intention des DSI et des RSSI qui ont pris du retard dans leurs préparatifs mais qui souhaitent solliciter ce financement au titre de la loi sur les infrastructures, voici quelques pistes à suivre rapidement :
- Remettez à jour votre plan de cybersécurité : Pour atteindre les objectifs intermédiaires fixés, veillez à inclure une stratégie et des mesures concrètes couvrant l'ensemble de la période de quatre ans prévue par le plan.
- Discutez avec les acteurs locaux : Le plan de cybersécurité doit définir clairement la manière dont l'État soutiendra les initiatives locales en matière de cybersécurité. Cela ne saurait se faire sans une réflexion active sur les priorités et les défis du département, de la ville et des communautés autochtones. Par exemple, même si un État met à disposition des outils modernes, une collectivité locale peut ne pas disposer des moyens nécessaires pour les mettre en œuvre. Cela pourrait laisser penser qu'ils ont besoin de davantage de formation, de soutien ou d'aide de la part d'un prestataire tiers de services de sécurité gérés (MSSP).
[À lire également : Chaque collaborateur doit désormais faire partie de l'équipe de cybersécurité]
- Sensibiliser et faire prendre conscience de la nécessité : La plupart des DSI et des RSSI en sont conscients, mais ils ne peuvent pas réussir s'ils agissent en vase clos. Lorsque vous sollicitez des financements fédéraux, il est essentiel d'expliquer aux responsables politiques les raisons qui justifient cette demande. Pittman-Leeper souligne qu’il est essentiel de faire comprendre la nécessité d’un budget accru et d’un financement progressif, afin que, si les demandes de subventions aboutissent, celles-ci n’entraînent pas de réduction budgétaire par la suite.
Cela permet également de convaincre les responsables gouvernementaux de l’importance de financer la modernisation de la cybersécurité des systèmes informatiques hérités au niveau des États et des collectivités locales.
En Arizona, comme le souligne M. Murray, grâce au soutien du gouverneur Doug Ducey, le budget de l’État prévoit 10 millions de dollars pour aider les collectivités locales et les districts scolaires de la maternelle à la terminale à renforcer leur niveau de sécurité. - Voyez les choses dans leur globalité : Inspirez-vous de l'exemple de l'Arizona et prenez conscience que les subventions ne doivent pas nécessairement se limiter à des initiatives ponctuelles. Une fois qu'un modèle durable est en place, il est possible de solliciter toutes sortes de sources de financement fédérales. Par exemple, le DHS a récemment annoncé l'octroi de 1,6 milliards de dollars de subventions destinées à la préparation à la lutte contre le terrorisme. Une partie de ce financement peut être affectée aux mesures de cybersécurité. Comme on pouvait s’y attendre, l’équipe de Murray s’est également coordonnée avec les collectivités locales pour solliciter ce financement.
- Collaborez avec d'autres États : Le temps, l'énergie et les investissements nécessaires pour obtenir des financements destinés à la cybersécurité des infrastructures peuvent encore sembler décourageants. Mais M. Murray, de l'Arizona, indique que son équipe est en pourparlers avec ses homologues d'autres États, notamment du Texas et du Nouveau-Mexique, afin de trouver des moyens de mettre en commun des fonds pour répondre à leurs besoins communs. Certes, il est possible que les directives de la CISA viennent contrecarrer cette approche (là encore, cela reste à déterminer). Mais sortir des sentiers battus pourrait ouvrir la voie à de nombreuses possibilités une fois le financement obtenu.
Selon M. Pittman-Leeper, quelle que soit l'opinion des DSI et des RSSI des États sur les subventions fédérales en matière de cybersécurité, ils devront probablement y avoir recours tôt ou tard.
« La cybersécurité est un problème qui souffre d’un manque de moyens depuis un certain temps déjà, et ce problème ne fait que s’aggraver », déclare-t-elle. « Les DSI et les RSSI des collectivités territoriales qui sollicitent ce type de financement sont suffisamment lucides pour savoir qu’il ne s’agit pas d’une baguette magique. » « Mais c’est un début, et il faut bien commencer quelque part. »
