Les attaques dévastatrices par ransomware qui ont mis fin à un important pipeline de gaz et au plus grand fournisseur de viande au monde montrent à quel point le problème de cybersécurité devient critique pour les entreprises américaines.
Le président Biden a répondu aux récentes agressions par un décret visant à renforcer la cybersécurité en exigeant de nouvelles normes logicielles pour les entrepreneurs gouvernementaux et un signalement plus rapide des violations.
Mais il s’avère que les lignes de front de la cyberguerre d’aujourd’hui sont beaucoup plus proches de chez elles. Elles résident souvent au niveau de l’État, sur une infrastructure locale dont les entreprises et le gouvernement dépendent pour fournir des services aux consommateurs et aux électeurs. Cependant, les DSI d’État ont du mal à s’associer à leurs pairs fédéraux.
Cela, dit Karen Robinson, doit changer.
Robinson est l’ancien DSI de l’État du Texas et membre de la National Association of State Chief Information Officers. Tout au long de sa carrière, elle s’est associée à des organisations publiques et privées pour aider les États et les agences gouvernementales à améliorer l’innovation technique et la cybersécurité.
Aujourd’hui PDG de KWR Acuity Strategies, une société de conseil qui conseille les leaders technologiques gouvernementaux sur la modernisation numérique et les stratégies de cybersécurité, elle a récemment parlé à Endpoint de la nécessité de partenariats public-privé pour lutter contre la cybercriminalité, de la manière dont la pandémie a modifié les priorités informatiques de l’État, et du rôle des DSI de l’État dans la direction des efforts de transformation numérique au profit de leurs citoyens et des entreprises locales.
Quel rôle les États jouent-ils dans le renforcement de la cybersécurité nationale ?
Compte tenu des faiblesses des technologies de l’information actuelles et de la force croissante des outils et méthodologies cybercriminels, nous ne pouvons plus nous contenter de nous fier aux cyberpérimètres pour les actifs numériques et la protection des données.
Un principe de meilleure pratique consiste à rapprocher la protection des actifs le plus possible. Une meilleure sécurisation des actifs signifie que des mécanismes de protection sont placés sur et autour de l’infrastructure, permettant aux entités commerciales et gouvernementales de fournir des produits et services en toute sécurité.
Mais tous les États ne sont pas créés égaux en matière de cybersécurité et d’informatique, n’est-ce pas ? Quels sont les dangers et les défis d’avoir des approches inégales dans tout le pays ?
Les États ont des besoins uniques. Ils ont chacun des actifs critiques, des processus commerciaux et une tolérance au risque. Les États ont des données démographiques et des cultures différentes. Une cyberhygiène et une gestion des risques informatiques efficaces doivent être associées à la criticité et aux besoins.
« Notre cybersécurité collective est aussi forte que son maillon le plus faible. »
Notre cybersécurité collective est aussi forte que son maillon le plus faible. Regardez l’attaque Colonial Pipeline. Une seule attaque a fermé un pipeline qui a fourni du gaz à 45 % de la côte Est. L’attaque montre notre interconnexion et pourquoi nous devons tous nous préoccuper de la cyber-préparation.
Que pouvons-nous faire pour égaliser les règles du jeu ?
Certains États disposent d’une abondance de ressources, avec des cadres de contrôle établis, des évaluations régulières et périodiques, des opérations de sécurité avancées et des centres de fusion. Dans le même temps, d’autres États continuent de lutter contre un financement insuffisant pour soutenir leur mission et leur infrastructure critique. L’utilisation d’un outil complet pour aider les organisations à gérer en toute confiance les performances, à traiter les menaces et à garantir la conformité est essentielle aux opérations informatiques de base.
[Lire également : Comment les DSI gouvernementaux peuvent jouer plus dur D]
Pour mettre les règles du jeu à niveau, nous avons besoin d’un financement de l’État pour la technologie, en mettant à disposition des outils de pointe et en partageant les approches et les meilleures pratiques. Mais ce qui est le plus nécessaire est un cadre crédible et cohérent par rapport auquel tous les États peuvent mener la planification et le déploiement des programmes de sécurité. Ces programmes peuvent ensuite être mesurés de manière cohérente en termes de pertinence et de progrès.
Comment le gouvernement fédéral et les États peuvent-ils travailler ensemble pour améliorer notre sécurité ?
Le gouvernement fédéral renforcerait la cybersécurité en établissant un cadre ou un comité de gouvernance « parapluie » des postures de cybersécurité souhaitées, permettant aux États d’« atteindre » les postures qui correspondent à leur niveau de risque et de besoin.
Aujourd’hui, nous savons que les États ne fondent pas leurs programmes sur un cadre industriel cohérent, tel que l’ISO 27001 (la norme internationale pour mesurer la sécurité de l’information) ou le cadre fédéral du NIST [National Institute of Standard and Technology].
La pandémie a accéléré la transformation numérique, mais elle a également réduit les budgets de l’État. Quel cas les DSI peuvent-ils faire pour obtenir les ressources dont ils ont besoin pour poursuivre les efforts de numérisation ?
La dévastation des ressources a été un peu exagérée. Notre expérience a été que les ressources et les budgets, au lieu d’être réduits, ont été considérablement redéfinis pour aider à créer de nouvelles capacités commerciales numériques ou des capacités commerciales numériques améliorées. Cela inclut à la fois les nouvelles technologies et les nouveaux processus.
[Lire également : Comment le fabricant de moteurs Cummins adopte la cyberhygiène]
Maintenant que ces capacités fonctionnent avec succès, les agences gouvernementales doivent continuer à investir, renforcer et sécuriser leurs capacités. Le public est à la recherche de services gouvernementaux de qualité grand public. Une fois que les États offrent une expérience sans friction, en un seul clic, les citoyens bénéficieront de l’expérience utilisateur qu’ils exigent.
Quand les États atteindront-ils la parité avec des entreprises comme Amazon ou Netflix ?
Le déploiement des services d’État numériques pendant la pandémie a été effectué avec des processus et technologies existants qui peuvent ou non avoir été appropriés au besoin. Mais ils ont fait le travail.
Les services numériques ont été déployés sur des infrastructures existantes, voire incomplètes ou moins robustes. Et dans de nombreux cas, les services ont été fournis avec la sécurité comme réflexion après coup, étant donné la priorité et l’accent mis sur la rapidité de mise sur le marché.
Je pense que dans les 18 à 36 prochains mois, nous verrons la modernisation, le renforcement et l’amélioration de ces processus numériques en utilisant les leçons apprises au cours des 15 derniers mois.
Je pense également que nous verrons des approches et des technologies de pointe émerger des pipelines de développement. C’est une période passionnante. Je suis impatient de voir ce qui va suivre.
