Récemment, l’Association nationale des responsables informatiques des États (NASCIO) a pris l’initiative inhabituelle de d’apporter publiquement son soutien à un projet de loi fédéral, en l’occurrence la loi de 2019 sur la cybersécurité des administrations locales et régionales. Ce projet de loi, présenté en juin par une équipe bipartisane, viserait à modifier la loi sur la sécurité intérieure de 2002 afin d'améliorer la manière dont les autorités fédérales, régionales et locales peuvent collaborer et partager leurs ressources pour endiguer la vague de cyberattaques.
On comprend aisément pourquoi ce soutien a suscité autant d'intérêt. La NASCIO considère la cybersécurité comme la priorité technologique numéro un pour les États américains, et il ne se passe pratiquement pas une semaine sans qu’une administration d’État ou locale ne fasse la une des journaux à la suite d’une attaque récemment découverte, le nettoyage en cours à Baltimore suite à une attaque par ransomware n’en étant qu’un exemple parmi d’autres.
Mais en parcourant à la fois le projet de loi et la prise de position de la NASCIO en sa faveur, un élément discutable a attiré mon attention.
Comme l’a rapporté StateScoop, « L’accès à de nouveaux financements et aux technologies fédérales constituerait une aubaine pour les DSI des États… qui peinent à financer correctement leurs initiatives en matière de cybersécurité. » « Selon les données de la NASCIO, la majorité des États ne disposent pas d’un budget spécifique consacré à la cybersécurité, ce qui signifie que celle-ci doit être financée sur le budget général des technologies de l’information… Les DSI et les RSSI ne disposent pas de ressources humaines suffisantes pour garantir qu’ils soient en mesure de faire face à toutes les menaces auxquelles ils sont confrontés. »
Tout ce qui précède est exact, mais pose problème. Pour les administrations publiques régionales et locales, disposer des ressources nécessaires pour acquérir davantage de technologies, en plus des éléments de leur infrastructure technologique existante qui sont inutilisés ou mal déployés, peut sembler être une aubaine, mais cela ne résoudra pas les défis fondamentaux qui les exposent, au départ, à des perturbations. Vous ne pouvez pas « vous soustraire » aux vecteurs de menaces en y mettant le prix ; la plupart des intrusions réussies surviennent parce que les organisations n’ont pas pris les mesures adéquates pour améliorer leur hygiène informatique, corriger les vulnérabilités et configurer correctement leurs environnements afin de respecter le principe du « privilège minimal ».
Comme me l'a expliqué Chris Hallenbeck, notre responsable de la sécurité des systèmes d'information (RSSI) pour les Amériques, on peut considérer que cette législation permettrait de mieux outiller les directeurs informatiques. Une autre conséquence serait que cela donnerait lieu à un jeu de reproches lorsque quelque chose de grave se produit.
« Les DSI peuvent augmenter leur budget informatique grâce à des subventions fédérales ou bien imputer la responsabilité des incidents au fait qu’ils n’ont pas obtenu ce que le gouvernement fédéral leur avait promis », a déclaré Chris. « Aujourd’hui, la plupart des DSI des collectivités locales font preuve d’une intégrité irréprochable et souhaitent protéger leurs systèmes et leurs administrés contre des cybermenaces incessantes et omniprésentes. » « Or, telle qu’elle est actuellement rédigée, cette proposition de loi n’encourage pas les comportements appropriés qui permettront, à terme, de rendre leurs environnements plus résilients face aux perturbations. »
Avez-vous besoin de tous ces outils ? S'agit-il des bons outils ?
Comme le souligne Chris, l'allègement budgétaire serait d'autant plus bénéfique s'il était orienté vers les domaines appropriés. Si les États doivent recevoir des fonds fédéraux, ils pourraient les consacrer à des questions liées à l'hygiène informatique qui ont toujours été sous-financées ou largement négligées, notamment la gestion des correctifs, l'inventaire des actifs et le contrôle d'accès. Les organismes gouvernementaux sont conscients qu'ils doivent s'améliorer dans ces domaines ; La phase 1 du programme « Continuous Diagnostics and Mitigation » (CDM) du DHS constitue l'une des initiatives en cours. Mais veillons à ce que des mécanismes de contrôle soient mis en place pour que, lorsqu'un incident se produit, les DSI et les RSSI soient tenus responsables des résultats, et non pas de se rejeter la faute les uns sur les autres.
Nos équipes SLED, ici chez Tanium, passent beaucoup de temps aux côtés des responsables informatiques des collectivités locales et régionales qui ont investi dans toute une série de produits ponctuels et d’outils de sécurité, subissent des incidents perturbateurs, puis passent des semaines, des mois, voire des années à mener des discussions animées avec leurs fournisseurs, se demandant pourquoi ces outils ne leur ont pas été d’aide. Le simple fait d'allouer davantage de ressources à la sécurité et aux opérations informatiques ne résout pas les problèmes. En fin de compte, tout repose sur la mise en œuvre d'un plan en gardant à l'esprit les bons objectifs.
L'assistance technique fédérale serait particulièrement efficace si les États l'utilisaient à des fins de formation et d'évaluation. Il s'agirait notamment d'identifier les initiatives en matière d'hygiène et de réaliser une analyse des lacunes afin de comprendre dans quelle mesure les outils actuellement déployés se recoupent et quelles capacités font encore défaut en conséquence. Les DSI et les RSSI proactifs au sein des administrations publiques pourraient saisir l'occasion offerte par cette analyse pour rationaliser et réduire leur parc global d'outils.
Communiquer les informations pertinentes
La question la plus importante que je me pose concernant ce projet de loi porte sur les obligations de déclaration prévues par la nouvelle législation. Le ministère de la Sécurité intérieure met d'ores et déjà à la disposition des États de nombreuses aides techniques et formations. La loi prévoit expressément que le DHS rende compte tous les deux ans à la commission sénatoriale de la sécurité intérieure et des affaires gouvernementales (HSGAC) de la situation en matière de sécurité de chaque État.
Mais le DHS ne pourra rendre compte que dans la mesure où les États fourniront volontairement des données utiles, et ceux-ci ne seront pas incités à communiquer ces informations s'ils estiment que le Congrès se contentera de les comparer à leurs homologues. Si le DHS souhaite rendre le système de signalement efficace – et aider les États à améliorer réellement la sécurisation de leurs environnements informatiques –, la législation devrait imposer l'obligation de signalement aux États souhaitant bénéficier d'un financement fédéral. Cela peut se faire de manière globale.
Si, à l'issue de l'évaluation, il apparaît que certains États accusent un retard considérable malgré le financement et l'accès aux ressources, la législation devra alors être révisée afin d'exiger la présentation de rapports spécifiques, État par État. Mais avant tout, cette législation devrait avoir pour objectif d'encourager les comportements appropriés afin de résoudre concrètement les défis posés par les cyberattaques incessantes.
Il est impossible de protéger ce qui est invisible
Les responsables informatiques du secteur public, comme tous les responsables informatiques, sont submergés de messages et de promesses creuses de la part de fournisseurs de toutes tailles, qui leur proposent de résoudre leurs problèmes en achetant les outils et services les plus récents. Mais lorsqu’ils sont confrontés à des budgets limités, à des effectifs restreints et à des technologies parfois peu fiables, les dirigeants doivent faire de meilleurs choix et investir dans ce qui permettra réellement à leur environnement de mieux résister aux perturbations.
Tanium propose une véritable solution de plateforme permettant aux organismes SLED d'améliorer leur cyberhygiène grâce à une visibilité et à un contrôle en temps réel des terminaux. Pour en savoir plus, rendez-vous sur , ou consultez notre page de ressources dédiée aux collectivités locales et régionales :.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
À propos de l'auteur : Tyker Fagg est vice-président chargé des programmes destinés aux administrations locales et régionales ainsi qu'au secteur de l'éducation aux États-Unis chez Tanium.
