Lorsqu’un jet commercial s’écrase, les enquêteurs de l’aviation fédérale se précipitent sur les lieux et tentent de comprendre comment et pourquoi. Leurs conclusions sont destinées à informer le public et l’industrie aérienne, et à éviter des accidents similaires, que ce soit à cause d’une intention criminelle, d’une erreur humaine ou d’un dysfonctionnement technique.
Mais lorsqu’il s’agit de cyberattaques, aucune agence de ce type n’existe pour effectuer des examens similaires et partager des informations critiques. Cela est sur le point de changer. À la suite de l’ attaque SolarWinds, dans laquelle des pirates informatiques ont violé quelque 300 entreprises et neuf agences fédérales, avec un coût de nettoyage d’environ 100 milliards USD, l’administration Biden prévoit de créer un comité d’examen des incidents de cybersécurité.
[Lire également : Qu’est-ce que la cyber-résilience ?]
Dans le cadre d’un décret qui sera bientôt émis, les entrepreneurs en logiciels gouvernementaux devront rapidement signaler les cyber-violations à une nouvelle entité au sein du Département de la sécurité intérieure. Cette agence serait similaire au National Transportation Safety Board (NTSB), qui enquête sur l’aviation civile et d’autres accidents et émet des recommandations de sécurité.
L’objectif de la directive fédérale, qui devrait inclure de nouvelles règles pour répondre aux normes de sécurité des logiciels, est d’aider le gouvernement à détecter les incidents de cybersécurité et à y répondre . Elle est également destinée à promouvoir la sécurité de la chaîne d ’approvisionnement et à pousser les entrepreneurs fédéraux à améliorer leurs défenses.
Mais les nouvelles exigences pour les entrepreneurs fédéraux devraient avoir un impact beaucoup plus large. Les experts en sécurité affirment qu’ils passeront par les salles de conseil d’entreprise et les suites exécutives alors que les grandes et petites entreprises cherchent à adopter de nouvelles défenses de sécurité, à réduire les risques, à éviter les perturbations coûteuses et à devenir plus transparentes pour gagner des affaires et gagner la confiance des clients.
« L’approche du gouvernement va probablement galvaniser le secteur privé pour adopter des exigences de reporting similaires », déclare Chris Hallenbeck, directeur de la sécurité de l’information (RSSI) pour les Amériques chez Tanium. « Quelle entreprise veut être celle qui est moins transparente ? »
En effet, les RSSI adoptent aujourd’hui une approche proactive pour renforcer leurs entreprises et leurs secteurs. Ils se concentrent sur trois domaines cruciaux : des contrôles plus stricts sur le développement de logiciels, une visibilité accrue sur l’ensemble de leurs réseaux d’entreprise et un meilleur partage des informations.
Que contient votre logiciel ?
Tout comme la liste des ingrédients sur un package alimentaire, la nomenclature logicielle (SBOM) d’un fournisseur de logiciels doit répertorier clairement et précisément chaque composant et montrer d’où il provient. Il s’agit d’un élément crucial de la gestion de la chaîne d’approvisionnement. Il aide le fournisseur à s’assurer que les composants logiciels sont à jour et permet à l’acheteur d’effectuer une analyse des vulnérabilités pour évaluer le risque logiciel.
« Il est tout simplement trop facile d’intégrer des logiciels provenant de sources inconnues et potentiellement malveillantes. »Frank Dickson, vice-président du programme chez IDC
« Si je demande à un fournisseur de logiciels de produire une SBOM et qu’il semble incapable de le faire, cela me fera remettre en question ses pratiques de développement logiciel », a déclaré Sounil Yu, RSSI et responsable de la recherche chez JupiterOne. « Le simple fait de savoir qu’ils peuvent produire une SBOM me donne facilement l’assurance que leurs pratiques de développement logiciel sont suffisamment modernes ou matures pour contrer un large éventail de problèmes courants liés aux logiciels vulnérables ou mal entretenus. »
Alors que les entreprises exploitent des référentiels de code comme ceux de la plateforme de collaboration logicielle GitHub, la validation de la source et de la véracité du code a pris de l’importance. « Il est tout simplement trop facile d’intégrer des logiciels provenant de sources inconnues et potentiellement malveillantes », déclare Frank Dickson, vice-président du programme qui couvre la cybersécurité pour la société d’études de marché et le cabinet de conseil IDC.
Bien que les organisations aient une meilleure idée du logiciel qui constitue leur technologie à partir d’une SBOM plus détaillée, ces détails pourraient également ajouter une « inondation de nouvelles données et de bruits, et tout cela ne sera pas exploitable », déclare David Wolpoff, cofondateur et directeur de la technologie de Randori, une société de sécurité qui effectue des attaques contradictoires pour aider les clients à localiser les vulnérabilités.
[Lire également : Qu’est-ce que la gestion des correctifs ?]
S’ils ne l’ont pas déjà fait, les entrepreneurs gouvernementaux doivent se préparer à la complexité que les exigences SBOM plus strictes ajouteront au processus d’acquisition fédéral. Mais, finalement, ils devraient bénéficier d’un processus plus fluide, déclare Window Snyder, ancien RSSI chez Square, Inc., et fondateur et PDG de la société de sécurité réseau informatique Thistle Technologies.
Une SBOM requise par le gouvernement « pourrait être très utile en énonçant ce qui doit être fait pour la gestion des correctifs et des vulnérabilités », dit-elle. « Cela aidera les équipes de sécurité à traiter les éléments non si importants qui ne font pas la presse technologique, mais qu’elles souhaitent toujours traiter. Si cela fonctionne bien, grâce à [l’automatisation], cela peut réduire de manière mesurable la gestion des correctifs de 30 jours à 15 jours. »
Vous gérez uniquement ce que vous voyez
En vertu des règles attendues du décret à venir, les fournisseurs de logiciels gouvernementaux doivent rapidement informer le gouvernement s’ils identifient une violation ou un autre incident de sécurité. Mais pour répondre à cette exigence, les fournisseurs devront améliorer la visibilité sur leurs réseaux et actifs.
Comme le dit l’adage du secteur : vous ne pouvez pas gérer ce que vous ne voyez pas.
Au niveau opérationnel, la visibilité signifie obtenir une vue complète de tous les actifs informatiques et de données au sein de l’environnement informatique d’une entreprise. La visibilité signifie également avoir un aperçu des endpoints ou des appareils vulnérables à un moment spécifique, afin que l’équipe de sécurité puisse prendre des décisions de remédiation éclairées. Avec une plus grande visibilité, les organisations peuvent gérer plus efficacement une violation et rester confiantes dans la qualité de leurs données de reporting réglementaire.
« Ce que nous devons faire, c’est augmenter la sécurité d’une organisation pour rendre une violation moins probable en premier lieu. »Chris Hallenbeck, RSSI pour les Amériques chez Tanium
Mais gagner en visibilité reste un défi, en particulier après que la pandémie a étendu la surface d’attaque en augmentant le nombre d’endpoints et d’actifs qu’ils doivent protéger. A 2020 Tanium survey of 750 IT decision-makers found that nearly all—some 94%—have discovered endpoints that were previously unknown, a startling lack of visibility that could lead to compliance violations.
Hallenbeck de Tanium souhaiterait que le nouveau décret se concentre davantage sur l’amélioration de la sécurité avant qu’une attaque ne se produise plutôt qu’après coup. « Ce que nous devons faire, c’est augmenter la sécurité d’une organisation pour rendre une violation moins probable en premier lieu », a-t-il déclaré, ajoutant que lorsque les entreprises ont une visibilité sur leurs environnements informatiques, elles peuvent être plus proactives et productives.
Pour créer une bonne visibilité, les équipes de sécurité doivent développer un modèle de menace du risque d’exposition de leur organisation. Ce modèle doit correspondre aux actifs de grande valeur et aux fonctions commerciales critiques. En outre, les équipes de sécurité et informatiques doivent être en mesure de répondre à des questions sur l’emplacement des données stockées, les systèmes d’exploitation en jeu et si ces systèmes utilisent des services cloud ou des serveurs sur site et une infrastructure réseau. Sans ces informations, une entreprise n’aura pas la visibilité nécessaire pour prendre de bonnes décisions en matière de personnel et d’outillage, ce qui la rend plus vulnérable à une violation.
[Lire également : Comment les DSI gouvernementaux peuvent jouer plus dur D]
« Une fois que l’entreprise comprend ses workflows commerciaux, » déclare Chris Morales, RSSI chez le fournisseur de sécurité, de réseau et d’opérations informatiques Netenrich, « elle peut alors fournir une visibilité pour s’assurer que l’ensemble du workflow est surveillé pour le type de comportements d’attaquant qui peuvent ou vont se produire. »
Préparez-vous à partager
Le délai prévu pour informer le gouvernement d’une violation est de 72 heures, tout comme le Règlement général sur la protection des données (RGPD) de l’Union européenne. Cependant, Morales pense que l’industrie des logiciels pourrait et devrait agir « en quelques minutes » face aux menaces critiques ayant un impact élevé.
« La sécurité est une course entre défenseur et attaquant », dit-il, où la vitesse de réponse est « l’aspect le plus critique de contenir une violation ». Le défenseur doit détecter et réagir avant que l’attaquant n’atteigne sa cible. « Une notification retardée », ajoute-t-il, ralentit simplement les bons.
Même si la notification est bien faite et effectuée rapidement, le gouvernement fait face à des obstacles pour essayer de créer un cyberéquivalent de NTSB. Pour ce faire, elle doit convaincre les entreprises privées disposant de beaucoup de propriété intellectuelle en ligne de partager des informations.
Bien que la Cybersecurity & Infrastructure Security Agency (CISA) fédérale soit devenue un fervent défenseur des secteurs privé et public, les entreprises se sont plaintes que le partage d’informations est une voie à sens unique, un défi que le gouvernement doit surmonter en créant un flux bidirectionnel.
« La relation est bonne, mais la transparence est également importante », a déclaré Joseph Carson, RSSI consultatif chez ThycoticCentrify, qui fournit des solutions de gestion des accès privilégiés. « LaCISA est devenue plus impliquée et proactive, et c’est une bonne indication que la cybersécurité fonctionne mieux lorsque vous pouvez prévenir les attaques plutôt que de toujours venir après le fait de les nettoyer. »
Parmi les meilleures pratiques recommandées par les experts en sécurité pour partager des informations sur les incidents :
- Considérez chaque incident comme une opportunité d’amélioration.
- Évitez de blâmer et concentrez-vous sur les faiblesses systémiques et les causes profondes.
- Encourager et récompenser le partage des post-mortems effectifs.
Mener des post-mortems sans faute sur tous les types d’incidents , déclare Sounil Yu de JupiterOne, prépare une organisation à gérer les incidents de sécurité critiques. « La sécurité n’est qu’un type d’incident », dit-il. « Si une organisation adopte les pratiques de post-mortem sans faute, elle sera probablement bien préparée à répondre à toutes les exigences découlant de [l’ordre exécutif]. »
Les post-mortems sans blâme garantissent également que les leçons tirées d’un incident ne sont pas oubliées. Elles offrent également l’opportunité d’intégrer ces leçons dans les futures conceptions logicielles. « C’est un excellent investissement dans la survie des entreprises », déclare Yu. En tant que sous-produit, les post-mortems sans faute préparent les organisations aujourd’hui à l’avenir d’une agence d’examen de type cyber NTSB. Une telle agence, dédiée à des post-mortems irréprochables et étroitement axée sur ce qui s’est passé pendant une violation majeure, pourrait améliorer la sécurité au sein des organisations et tout au long de la chaîne d’approvisionnement.
