Les États-Unis se déconfinent, mais la situation est encore loin d'être « normale ». Les administrations publiques régionales et locales ainsi que les établissements d'enseignement (SLED) adaptent leurs modes de fonctionnement et leur organisation logistique afin de prendre en compte le retour des employés au bureau et celui des élèves à l'école. Et pour aider à relever les défis récents en matière d'exploitation et de sécurité, une aide est en passe d'arriver sous la forme d'un nouveau financement accordé par le gouvernement fédéral.
La loi « American Rescue Plan Act » ( ) (s'ouvre dans un nouvel onglet), qui a été promulguée le mars 2021, promet aux organisations du SLED de nouveaux fonds fédéraux destinés à leurs budgets de fonctionnement ainsi que de nouveaux investissements dans la cybersécurité.
Les fonds ne sont pas encore arrivés, ce qui laisse aux organisations du SLED le temps de se préparer à leur réception. Le moment est venu d'évaluer les besoins et les capacités informatiques actuels et d'élaborer des plans stratégiques pour l'avenir.
En rationalisant leurs investissements informatiques actuels, en optimisant ce qui fonctionne et en supprimant ou en améliorant ce qui ne fonctionne pas, les collectivités locales, les États et le gouvernement fédéral peuvent se préparer à tirer le meilleur parti possible des fonds alloués au titre de l'« American Rescue Plan Act » lorsqu'ils seront versés dans le courant de l'année.
Dans un précédent article de blog de l’ , intitulé « » (s’ouvre dans un nouvel onglet), j’ai recommandé aux organisations SLED de commencer par dresser un inventaire de leurs actifs informatiques actuels, de rationaliser leurs outils informatiques et d’élaborer un plan visant à prendre en charge les terminaux dans un environnement hybride de télétravail (WFH) pour une durée indéterminée.
Dans ce nouvel article, j'aborde deux autres domaines que les organisations SLED devraient explorer :
Respecter les exigences et les réglementations en matière de protection des données
Afin de se conformer à la réglementation gouvernementale et de respecter les bonnes pratiques informatiques, les organismes SLED doivent protéger les données confidentielles qu'ils collectent, stockent et gèrent. Ils doivent également se familiariser avec un nombre croissant de réglementations fédérales en matière de protection des données et, le cas échéant, s'y conformer, telles que PCI, HIPAA (s'ouvre dans un nouvel onglet), NIST 800-171 (s'ouvre dans un nouvel onglet), et IRS 1075 (s'ouvre dans un nouvel onglet). Par ailleurs, de nombreux États adoptent leurs propres lois sur la protection des données, similaires au Règlement général sur la protection des données (RGPD) européen. Et ils doivent mettre en place des mesures de protection des données afin de gagner et de conserver la confiance de leurs administrés.
Lutter contre les menaces liées à la cybersécurité et renforcer les défenses informatiques
Les cybermenaces gagnent en diversité, en gravité et en sophistication. Les cibles ne se limitent plus aux réseaux d'entreprise, mais s'étendent désormais aux infrastructures nationales. Cela s'explique en partie par le fait que, parmi les acteurs malveillants d'aujourd'hui, on trouve des États et des organisations criminelles, qui disposent tous de moyens financiers importants, d'outils sophistiqués et d'une grande patience. Par ailleurs, les organisations du secteur des technologies de l'information (SLED) sont plus exposées que jamais, car leurs collaborateurs travaillent à distance, hors du périmètre de protection des systèmes de sécurité traditionnels.
Les organisations SLED devraient prendre le temps dès à présent d'évaluer leurs outils et pratiques informatiques en matière de protection des données et de cybersécurité. Il ne sert à rien d'investir de nouveaux fonds fédéraux dans des technologies et des pratiques obsolètes qui ne fonctionnent pas comme elles le devraient. Au contraire, débarrassez-vous de l'ancien, optimisez ce que vous conservez et préparez le terrain pour les nouveaux investissements que vous identifierez.
Voici quelques recommandations pour évaluer les capacités de votre service informatique en matière de protection des données, de conformité réglementaire et de cybersécurité.
Organismes SLED, protection des données et conformité réglementaire
La protection des données est importante non seulement pour atteindre les objectifs du « American Rescue Plan » en matière de renforcement de la cybersécurité, mais aussi pour gagner la confiance des électeurs.
En montrant que vous prenez la protection des données au sérieux, vous donnez à vos clients la confiance nécessaire pour faire confiance aux services numériques que vous proposez.
Voici quelques questions à vous poser pour évaluer les points forts et les points faibles de votre organisation en matière de protection des données et de conformité réglementaire :
- Comment votre organisation évalue-t-elle aujourd'hui ses risques en matière de protection des données ?
- Votre équipe informatique a-t-elle recensé tous les types de données qui doivent être protégées ?
- Si tel est le cas, votre équipe informatique a-t-elle recensé l'ensemble des référentiels de données et des applications dans lesquels ces données pourraient se trouver ?
- Pouvez-vous suivre de manière systématique les droits d'accès des utilisateurs sur l'ensemble des appareils et des services, afin de limiter l'accès aux données sensibles aux seuls utilisateurs autorisés ?
- Comment évaluez-vous la conformité ?
- Comment votre organisation veille-t-elle au respect de l'ensemble des réglementations et politiques applicables ?
- Votre organisation procède-t-elle régulièrement à des audits visant à vérifier sa conformité réglementaire ?
- Votre équipe informatique est-elle en mesure de générer des rapports complets sur la conformité sans avoir recours à des processus manuels, à des tableurs ou à des estimations approximatives ?
- Si tel est le cas, ces rapports sont-ils transmis aux dirigeants et à l'équipe chargée de la sécurité informatique ?
- Lorsque des risques apparaissent, êtes-vous en mesure d'y remédier rapidement ?
- Si une attaque informatique venait à menacer la confidentialité ou l'intégrité des données de votre organisation, dans quel délai seriez-vous en mesure de mettre en quarantaine les terminaux concernés et de limiter les effets de l'attaque ?
Répondez à ces questions, puis déterminez les changements que vous devriez apporter pour améliorer les mesures de protection de la confidentialité des données au sein de votre organisation. Par exemple, avez-vous besoin d'améliorer la visibilité sur les terminaux de vos collaborateurs ? Améliorer la formation des employés aux bonnes pratiques et aux menaces de sécurité ? Surveiller de plus près l'activité des salariés afin de détecter d'éventuelles infractions à la réglementation ?
Déterminez ce que vous pouvez modifier et optimiser dès maintenant afin de répondre aux exigences en matière de protection des données et de préserver la réputation de votre organisation en tant que garant fiable des données confidentielles.
Les organisations SLED et la cybersécurité
La cybersécurité est l'un des axes prioritaires du plan de relance américain. Dès que les entreprises ont adopté le télétravail, les cybermenaces se sont multipliées. Dans une enquête intitulée « 2020 » ( ) (s'ouvre dans un nouvel onglet) () (), 63 % des responsables de la sécurité des systèmes d'information (RSSI) ont signalé une augmentation du nombre d'attaques.
Par ailleurs, 58 % ont déclaré craindre que les collaborateurs en télétravail ne respectent pas les consignes de sécurité, et 36 % ont signalé un manque de visibilité sur les actifs informatiques, tels que les terminaux des collaborateurs.
Sans visibilité sur les terminaux des collaborateurs, les équipes informatiques ne peuvent ni détecter les menaces ni les contrer.
Répondez à ces questions afin d'évaluer les points forts et les points faibles de votre organisation en matière de sécurité informatique :
- Disposez-vous d'une visibilité complète sur vos terminaux, y compris les appareils utilisés par vos collaborateurs en télétravail ?
- Avez-vous une vue d'ensemble des applications et des services auxquels ces terminaux se connectent dans le cloud ?
- Pouvez-vous collecter des données sur les terminaux en temps réel ? Sinon, vos données sont-elles à jour ? Le ramassage a-t-il lieu une fois par jour ? Une fois par semaine ? Si vous collectez les données des terminaux une seule fois par semaine, êtes-vous prêt à assumer les risques liés à la cybersécurité que représente le fait de disposer de données datant d'une semaine concernant les menaces de sécurité ?
- Vos pratiques en matière de sécurité informatique dépendent-elles du fait que les terminaux se connectent via un réseau local (LAN) ou un réseau privé virtuel (VPN) ? Ou bien peuvent-elles fonctionner avec les équipes travaillant à distance aujourd'hui, qui sont rarement connectées à des réseaux locaux (LAN) ou à des réseaux privés virtuels (VPN) ?
- Lorsque des incidents de sécurité se produisent, êtes-vous en mesure de réagir rapidement afin de neutraliser les menaces avant qu'elles ne se propagent à d'autres terminaux ?
- Pouvez-vous analyser automatiquement les terminaux utilisés par les employés, identifier les vulnérabilités et appliquer les correctifs nécessaires pour les éliminer ?
- De quels moyens votre organisation dispose-t-elle pour détecter et remédier aux attaques qui auraient pu être actives depuis 90 jours ou plus ?
Répondez à ces questions afin d'identifier les lacunes de vos pratiques ou de vos outils actuels en matière de sécurité informatique. Déterminez ensuite ce qui, le cas échéant, doit être remplacé, ajouté ou optimisé.
Par exemple :
- Avez-vous besoin de revoir vos politiques et vos procédures maintenant que certains de vos collaborateurs travaillent à distance de manière permanente ?
- Disposez-vous des outils et des procédures nécessaires pour vous conformer aux dernières réglementations gouvernementales ?
- Si vous conservez votre ensemble actuel d'outils de sécurité informatique, pourriez-vous facilement le compléter par d'autres outils afin de renforcer et d'optimiser votre sécurité globale ?
Réévaluez et optimisez dès maintenant vos pratiques en matière de sécurité informatique et de protection des données afin que, lorsque de nouveaux financements fédéraux seront débloqués, vous puissiez les utiliser à bon escient — et être prêt pour l'avenir.
Pour en savoir plus sur les offres d’ Tanium destinées aux organismes SLED, consultez les liens suivants : (s’ouvre dans un nouvel onglet),et .
Découvrez les articles précédents de cette série :
Accélérer la transformation numérique grâce à l'American Rescue Plan (s'ouvre dans un nouvel onglet)
