Lorsqu'un avion de ligne s'écrase, les enquêteurs fédéraux de l'aviation se rendent immédiatement sur les lieux et tentent de déterminer comment et pourquoi cela s'est produit. Leurs conclusions ont pour but d'informer le public et le secteur aérien, ainsi que de prévenir des accidents similaires, qu'ils soient dus à une intention criminelle, à une erreur humaine ou à un dysfonctionnement technique.
Mais en matière de cyberattaques, il n'existe aucun organisme de ce type chargé de mener des analyses similaires et de partager des informations essentielles. Cela est sur le point de changer. À la suite de l'attaque SolarWinds « » — au cours de laquelle des pirates informatiques ont infiltré quelque 300 entreprises et neuf agences fédérales, pour un coût de remise en état estimé à environ 100 milliards de dollars —, l'administration Biden prévoit de créer une commission d'examen des incidents de cybersécurité.
[À lire également : Qu'est-ce que la cyber-résilience ?]
En vertu d'un décret présidentiel de l' , qui sera publié prochainement, les prestataires de services informatiques du gouvernement seraient tenus de signaler rapidement les cyberattaques à une nouvelle entité relevant du ministère de la Sécurité intérieure. Cette agence serait similaire au Bureau national de la sécurité des transports (NTSB), qui mène des enquêtes sur les accidents de l'aviation civile et d'autres types d'accidents et formule des recommandations en matière de sécurité.
L'objectif de cette directive fédérale, qui devrait inclure de nouvelles règles visant à respecter les normes de sécurité des logiciels, est d'aider l' gouvernementale à détecter les incidents de cybersécurité et à y répondre . Elle vise également à renforcer la sécurité de la chaîne d'approvisionnement et à inciter les prestataires fédéraux à améliorer leurs mesures de protection.
Toutefois, les nouvelles exigences imposées aux prestataires du gouvernement fédéral devraient avoir des répercussions bien plus larges. Les experts en sécurité affirment que ces questions vont se propager dans les conseils d'administration et les bureaux de direction des entreprises, à mesure que celles-ci, grandes ou petites, chercheront à adopter de nouveaux dispositifs de sécurité, à réduire les risques, à éviter des perturbations coûteuses et à gagner en transparence afin de remporter des contrats et de gagner la confiance de leurs clients.
« L’approche du gouvernement devrait inciter le secteur privé à adopter des obligations de déclaration similaires », déclare Chris Hallenbeck , responsable de la sécurité des systèmes d’information (RSSI) pour les Amériques chez Tanium, sur le site . « Quelle entreprise voudrait être celle qui manque de transparence ? »
En effet, les responsables de la sécurité des systèmes d'information (RSSI) adoptent aujourd'hui une approche proactive pour renforcer leurs entreprises et leurs secteurs d'activité. Elles se concentrent sur trois domaines essentiels : un renforcement des contrôles sur le développement logiciel, une visibilité accrue sur l'ensemble de leurs réseaux d'entreprise et un meilleur partage de l'information.
Que contient « » de votre logiciel « » ?
Tout comme la liste des ingrédients figurant sur l'emballage d'un produit alimentaire, la liste des composants logiciels (SBOM, ) d'un éditeur de logiciels doit répertorier de manière claire et précise chaque composant et indiquer sa provenance. Il s'agit d'un élément essentiel de la gestion de la chaîne logistique. Cela permet au fournisseur de s'assurer que les composants logiciels sont à jour et donne à l'acheteur la possibilité d'effectuer une analyse des vulnérabilités afin d'évaluer les risques liés aux logiciels.
«Il est tout simplement trop facile d’intégrer des logiciels provenant de sources inconnues et potentiellement malveillantes. »Frank Dickson, vice-président chargé des programmes chez IDC
« Si je demande à un fournisseur de logiciels de produire une SBOM et qu’il semble incapable de le faire, cela m’amènera à m’interroger sur ses pratiques en matière de développement logiciel », a déclaré Sounil Yu, RSSI et directeur de la recherche chez JupiterOne. « Le simple fait de savoir qu’ils sont capables de générer facilement une SBOM me conforte dans l’idée que leurs pratiques de développement logiciel sont suffisamment modernes ou abouties pour faire face à un large éventail de problèmes courants liés à des logiciels vulnérables ou mal entretenus. »
À mesure que les entreprises exploitent des référentiels de code tels que ceux proposés par la plateforme de collaboration logicielle GitHub, la validation de la provenance et de l'authenticité du code revêt une importance croissante. « Il est tout simplement trop facile d’intégrer des logiciels provenant de sources inconnues et potentiellement malveillantes », explique Frank Dickson , vice-président chargé des programmes et spécialiste de la cybersécurité au sein d’, société d’études de marché et de conseil.
Si les organisations auront une meilleure idée des logiciels qui composent leur infrastructure technologique grâce à une SBOM plus détaillée, ces informations pourraient également entraîner « un afflux de nouvelles données et de bruit, dont tout ne sera pas exploitable », explique David Wolpoff, cofondateur et directeur technique de Randori, une société de sécurité qui mène des attaques simulées afin d’aider ses clients à identifier leurs vulnérabilités.
[À lire également : Qu'est-ce que la gestion des correctifs ?]
S'ils ne l'ont pas encore fait, les prestataires du secteur public doivent se préparer à la complexité que le renforcement des exigences en matière de SBOM va ajouter au processus d'acquisition fédéral. Mais, en fin de compte, ils devraient bénéficier d’un processus plus fluide, affirme Window Snyder, ancienne responsable de la sécurité des systèmes d’information (RSSI) chez Square, Inc., et fondatrice et PDG de la société de sécurité des réseaux informatiques Thistle Technologies.
Une liste des composants logiciels (SBOM) exigée par le gouvernement « pourrait s'avérer très utile en précisant clairement ce qu'il convient de faire en matière de gestion des correctifs et des vulnérabilités », explique-t-elle. « Cela aidera les équipes de sécurité à s'attaquer aux problèmes moins importants qui ne font pas la une de la presse spécialisée, mais qu'elles souhaitent néanmoins traiter. » « Si cela fonctionne bien, grâce à [l’automatisation], cela peut réduire de manière mesurable la gestion des correctifs de 30 jours à 15 jours. »
On ne gère que ce que l'on voit
En vertu des dispositions prévues par le prochain décret, les prestataires de services informatiques du gouvernement devront signaler sans délai à ce dernier toute violation de données ou tout autre incident de sécurité qu'ils constateraient. Mais pour répondre à cette exigence, les fournisseurs devront améliorer la visibilité sur l'ensemble de leurs réseaux et de leurs ressources.
Comme le dit le dicton dans ce secteur : « On ne peut pas gérer ce qu’on ne voit pas. »
Sur le plan opérationnel, la visibilité consiste à obtenir une vue d'ensemble de l'ensemble des ressources informatiques et des données présentes dans l'environnement informatique d'une entreprise. La visibilité implique également de savoir quels terminaux ou appareils sont vulnérables à un moment donné, afin que l'équipe de sécurité puisse prendre des décisions éclairées en matière de correction. Grâce à une meilleure visibilité, les organisations peuvent gérer plus efficacement une violation de données et rester assurées de la qualité de leurs données destinées aux déclarations réglementaires.
«Ce qu’il faut, c’est renforcer la sécurité d’une organisation afin de réduire d’emblée le risque de violation. »Chris Hallenbeck, responsable de la sécurité des systèmes d'information (RSSI) pour les Amériques chez Tanium
Mais assurer cette visibilité reste un défi, d'autant plus que la pandémie a élargi la surface d'attaque en augmentant le nombre de terminaux et de ressources qu'ils doivent protéger. Une enquête Tanium intitulée « 2020 » , menée auprès de 750 décideurs informatiques, a révélé que la quasi-totalité d’entre eux — soit environ 94 % — ont découvert des terminaux jusque-là inconnus, un manque de visibilité alarmant susceptible d’entraîner des manquements à la conformité.
M. Hallenbeck, de Tanium, souhaiterait que le nouveau décret présidentiel mette davantage l'accent sur le renforcement de la sécurité avant qu'une attaque ne se produise, plutôt qu'après coup. « Ce qu’il nous faut, c’est renforcer la sécurité d’une organisation afin de réduire d’emblée le risque de violation », a-t-il déclaré, ajoutant que lorsque les entreprises disposent d’une bonne visibilité sur leurs environnements informatiques, elles peuvent se montrer plus proactives et plus productives.
Pour bénéficier d'une bonne visibilité, les équipes de sécurité doivent élaborer un modèle de menaces permettant d'évaluer les risques d'exposition de leur organisation. Ce modèle doit correspondre aux actifs de grande valeur et aux fonctions métier essentielles. Par ailleurs, les équipes chargées de la sécurité et de l'informatique doivent être en mesure de répondre aux questions concernant l'emplacement de stockage des données, les systèmes d'exploitation utilisés, ainsi que le fait de savoir si ces systèmes recourent à des services cloud ou à des serveurs et une infrastructure réseau sur site. Sans ces informations, une entreprise ne disposera pas de la visibilité nécessaire pour prendre les bonnes décisions en matière de personnel et d'outils, ce qui la rendra plus vulnérable à une violation de données.
[À lire également : Comment les DSI du secteur public peuvent-ils se montrer plus fermes ?]
« Une fois que l’entreprise a cerné ses processus métier », explique Chris Morales, responsable de la sécurité des systèmes d’information (RSSI) chez Netenrich, fournisseur de solutions de sécurité, de réseaux et d’opérations informatiques, « elle peut alors assurer une visibilité permettant de surveiller l’ensemble du processus afin de détecter les types de comportements d’attaquants susceptibles de se produire ou qui se produiront effectivement. »
Préparez-vous à partager
Le délai prévu pour signaler une violation au gouvernement devrait être de 72 heures, à l’instar du règlement général sur la protection des données (RGPD) de l’Union européenne . Cependant, M. Morales estime que le secteur des logiciels pourrait et devrait réagir « en quelques minutes » face à des menaces critiques ayant un impact important.
« La sécurité est une course entre le défenseur et l'attaquant », explique-t-il, la rapidité de réaction étant « l'aspect le plus crucial pour endiguer une intrusion ». Le défenseur doit détecter la menace et réagir avant que l'attaquant n'atteigne sa cible. « Une notification tardive », ajoute-t-il, « ne fait que ralentir les gentils ».
Même si la notification est effectuée correctement et rapidement, le gouvernement se heurte à des obstacles lorsqu'il tente de créer l'équivalent cybernétique du NTSB. Pour ce faire, elle doit convaincre les entreprises privées, dont la propriété intellectuelle est fortement en jeu, de partager leurs informations.
Bien que l’Agence fédérale américaine pour la cybersécurité et la sécurité des infrastructures ( , CISA) soit devenue un fervent défenseur tant du secteur privé que du secteur public, les entreprises se plaignent que le partage d’informations soit à sens unique, un défi que le gouvernement doit relever en instaurant un flux bidirectionnel.
« La relation est bonne, mais la transparence est également importante », a déclaré Joseph Carson, responsable de la sécurité des systèmes d'information (RSSI) chez ThycoticCentrify, une entreprise qui propose des solutions de gestion des accès privilégiés. « La CISA s'implique davantage et fait preuve de plus d'initiative, ce qui est une bonne chose : cela montre que la cybersécurité est plus efficace lorsqu'on prévient les attaques plutôt que de toujours intervenir après coup pour remédier aux dégâts. »
Parmi les bonnes pratiques recommandées par les experts en sécurité pour le partage d'informations sur les incidents, on peut citer :
- Considérez chaque incident comme une occasion de vous améliorer.
- Évitez de rejeter la faute sur quelqu'un et concentrez-vous plutôt sur les faiblesses systémiques et les causes profondes.
- Encouragez et récompensez le partage d'analyses rétrospectives efficaces.
Selon Sounil Yu, de JupiterOne, la réalisation d’analyses rétrospectives impartiales et sans reproche sur tous les types d’incidents permet à une organisation de se préparer à gérer les incidents de sécurité critiques. « La sécurité n'est qu'un type d'incident parmi d'autres », déclare-t-il. « Si une organisation adopte les pratiques des analyses rétrospectives sans reproches, elle sera probablement bien préparée à répondre à toutes les exigences découlant du [décret présidentiel]. »
Les analyses rétrospectives sans reproche permettent également de s'assurer que les enseignements tirés d'un incident ne tombent pas dans l'oubli. Elles offrent également l'occasion d'intégrer ces enseignements dans la conception de futurs logiciels. « C’est un excellent investissement pour la pérennité de l’entreprise », déclare Yu. Par ailleurs, les analyses rétrospectives impartiales préparent dès aujourd’hui les organisations à l’émergence future d’une agence d’enquête sur la cybersécurité, sur le modèle du NTSB. Une telle agence, chargée de mener des analyses rétrospectives impartiales et résolument déterminée à faire toute la lumière sur les circonstances d’une violation majeure, pourrait renforcer la sécurité au sein des organisations et tout au long de la chaîne d’approvisionnement.
