Ryan Murray l’adore lorsqu’un plan se réunit.
En tant que directeur adjoint de la sécurité de l’information (RSSI) pour l’État de l’Arizona, Murray a eu les mains pleines pour tenter de protéger les communautés principalement rurales de l’État contre les défis de cybersécurité.
Il y a trois ans, son service a donc entrepris d’aider à mettre à niveau des systèmes de cybersécurité informatique locaux largement obsolètes, et dans certains cas inexistants, en utilisant une combinaison d’argent de subvention fédérale et de contributions d’État. Rencontre avec les dirigeants des comtés, des villes et des tribus, son équipe a identifié les besoins et les points faibles pour comprendre où les améliorations étaient les plus critiques. Ensuite, alors que les subventions provenaient d’agences telles que le Département de la sécurité intérieure (Department of Homeland Security, DHS), le bureau de Murray était prêt à les poursuivre plus rapidement et plus efficacement.
En même temps, son équipe a pu utiliser ce qu’ils avaient entendu des fonctionnaires locaux pour acheter des outils et services de cybersécurité modernes à prix réduit (en vertu de certains accords de service maîtres de fournisseurs et contrats d’État), puis fournir ces solutions aux gouvernements locaux en espèces, gratuitement.
Murray déclare que ce modèle met l’Arizona en bonne forme pour capturer une partie du milliard USD de financement de cybersécurité qui est intégré au projet de loi bipartite sur les infrastructures que le président Biden a signé en novembre.
« Nous avons supprimé la complexité de ces processus, ce qui sera important étant donné que nous ne savons pas encore quand les fonds seront mis à disposition ou quelles seront les exigences », déclare M. Murray.
Lutte contre l’ambiguïté en matière de cybersécurité
Il serait conseillé aux responsables étatiques et locaux qui s’emparent de leur part des fonds de cybersécurité dans la loi sur les infrastructures de suivre l’exemple de l’Arizona et de faire un peu de travail préparatoire, maintenant.
« La chose dont les États ont besoin en ce moment est les conseils de la CISA sur la manière dont ils peuvent dépenser l’argent. »Alex Whitaker, directeur des affaires gouvernementales, NASCIO
C’est parce que, bien que tout le monde sache que l’argent arrive, il n’y aura pas beaucoup de temps pour le poursuivre. Les fonds seront alloués sur quatre ans, avec 200 millions USD disponibles en 2022, 400 millions USD en 2023, 300 millions USD en 2024 et 100 millions USD en 2025.
La Cybersecurity and Infrastructure Agency (CISA) avait prévu d’émettre son Avis d’opportunité de financement (NOFO) pour le premier versement de financement au début de l’été, mais il semble que cela pourrait glisser vers la fin de l’été. Cela signifie que les gouvernements étatiques et locaux pourraient avoir un mois ou moins pour remplir et soumettre des demandes, car le décaissement 2022 est censé sortir d’ici la fin de l’exercice fiscal du gouvernement fédéral le 30 septembre.
Il est rarement facile de remplir des demandes gouvernementales. En effet, il existe de nombreux obstacles.
Par exemple, les règles dictent que 80 % de l’argent de la subvention doit circuler vers les localités, ce qui signifie que les États ont besoin de mécanismes pour y parvenir. Ils doivent également être prêts à faire correspondre les fonds de la subvention avec leur propre argent, à partir de 10 % en 2022 et en augmentant de 10 points de pourcentage chaque année jusqu’à 2025. Et ils doivent présenter des plans de cybersécurité qui exposent comment les fonds seront diffusés et utilisés.
[Lire également : 5 stratégies que les DSI peuvent utiliser pour transformer leur main-d’œuvre]
En considérant que la CISA n’a pas encore défini publiquement comment les fonds pourraient être dépensés, et par qui, il s’agit certainement d’un ordre élevé. Mais de nombreux DSI et RSSI d’État progressistes progressent de toute façon.
« La chose dont les États ont besoin en ce moment est les conseils de la CISA sur la manière dont ils peuvent dépenser l’argent », déclare Alex Whitaker, directeur des affaires gouvernementales de la National Association of State Chief Information Officers (NASCIO). « Mais ils ne sont pas assis sur leurs mains. Ceux qui sont intéressés travaillent sur leurs plans de cybersécurité et essaient d’amener les locaux dans la salle pour identifier leurs besoins. »
Le financement fédéral de la cybersécurité en vaut la peine
Tous les États ne seront pas intéressés par la poursuite du financement de l’infrastructure, déclare Whitaker. À la fin de la journée, il n’y aura qu’un milliard de dollars à diviser entre 50 États sur quatre ans. Et comme les États doivent s’ébranler en millions de dollars en contrepartie de fonds pendant cette période, certains peuvent conclure « Cela ne vaut pas vraiment la peine pour nous, c’est juste trop de tracas », dit-il.
Dans le même temps, Whitaker note qu’il existe un « besoin extrême » dans les gouvernements étatiques et locaux de mettre à niveau les systèmes de sécurité informatique. De nombreux gouvernements locaux, en particulier, utilisent toujours du matériel et des logiciels primitifs contenant des fonctionnalités et des avantages de sécurité obsolètes depuis longtemps, déclare-t-il. D’autres ne mettent pas régulièrement à jour ou ne corrigent pas les systèmes clés, ce qui les rend plus vulnérables aux rançongiciels et autres attaques malveillantes. D’autres encore utilisent une multitude d’outils cloisonnés pour voir et comprendre où se trouvent les données et qui y accède. Et beaucoup manquent de contrôles d’identité et d’accès actuels, tels que l’ authentification multifacteur (AMF), ce qui peut aider à compenser les faiblesses du nom d’utilisateur et du mot de passe.
Jennifer Pittman-Leeper, responsable de l’engagement client chez Tanium, déclare que la plupart des DSI et RSSI d’État et locaux savent que leurs systèmes de sécurité informatique ne sont pas à la hauteur : « Si les outils et la technologie actuels fonctionnaient vraiment pour les États et les localités, ils n’auraient pas besoin de cet argent », dit-elle. « Cela ne fonctionne pas, et ils le savent. »
[Lire également : les agences d’État jouent au rattrapage sur la cybersécurité]
Ainsi, ceux qui se détournent des opportunités de financement telles que les subventions de cybersécurité dans la nouvelle loi sur les infrastructures doivent examiner plus difficilement.
« Ils doivent faire l’investissement nécessaire pour mettre à niveau leurs technologies », dit-elle. « Cet argent fédéral peut aider les États à faire passer les choses au niveau supérieur, ce qui pour certains n’est qu’un niveau fondamental. Ils ne devraient pas avoir l’air d’un cheval cadeau dans la bouche. »
Retirer le Band-Aid de cybersécurité
Les agences d’État doivent « tirer le meilleur parti », déclare Pittman-Leeper, et sécuriser le financement dans la mesure du possible pour mieux comprendre leurs environnements complexes et commencer à les contrôler.
« Ce n’est pas une baguette magique. Mais c’est un début, et vous devez commencer quelque part. »Jennifer Pittman-Leeper, responsable de l’engagement client, Tanium
Pour les DSI et les RSSI qui sont en retard dans la préparation, mais qui sont intéressés par la poursuite de ce financement du droit des infrastructures, quelques approches rapides :
- Éliminez ce plan de cybersécurité : pour atteindre des jalons spécifiques, assurez-vous d’inclure une stratégie et des tactiques spécifiques pour l’ensemble du délai de quatre ans du plan.
- Parlez aux locaux : le plan de cybersécurité doit clairement définir comment l’État soutiendra les efforts de cybersécurité locaux. Cela ne peut pas se produire sans discuter activement des priorités et défis du comté, de la ville et de la tribu. Par exemple, même si un état fournit des outils modernes, une localité peut ne pas disposer des moyens nécessaires pour les mettre en œuvre. Cela peut suggérer qu’ils ont besoin de plus de formation, d’assistance ou d’aide d’un fournisseur tiers de services de sécurité gérés (MSSP).
Pittman-Leeper déclare que, peu importe ce que les DSI et RSSI d’État pensent des subventions fédérales de cybersécurité, ils devront probablement en tirer parti plus tôt ou plus tard.
« La cybersécurité est un problème sous-financé depuis un certain temps, et le problème ne diminue pas », déclare-t-elle. « Les DSI et RSSI d’État qui recherchent ce type de financement sont suffisamment réalistes pour savoir qu’il ne s’agit pas d’une baguette magique. Mais c’est un début, et vous devez commencer quelque part. »
