Récemment, la National Association of State Chief Information Officers (NASCIO) a pris l’étape inhabituelle d’ approuver publiquement la législation fédérale proposée, en l’occurrence la loi fédérale de l’État et locale sur la cybersécurité de 2019. Ce projet de loi, qui a été introduit en juin par une équipe bipartite, modifierait la Loi sur la sécurité intérieure de 2002 pour améliorer la manière dont les gouvernements fédéraux, étatiques et locaux peuvent collaborer et partager des ressources pour endiguer la vague des cyberattaques.
Il est facile de comprendre pourquoi cette approbation a reçu autant d’attention. La NASCIO cite la cybersécurité comme l’impératif technologique majeur pour les États américains, et une semaine passe par le fait qu’une agence étatique ou locale n’est pas dans les gros titres pour une attaque nouvellement découverte, le nettoyage continu des ransomwares de Baltimore n’en étant qu’un exemple.
Mais en lisant à la fois la législation proposée et l’approbation de la NASCIO, quelque chose de douteux a attiré mon attention.
Comme l’a déclaré StateScoop, « l’accès à de nouveaux financements et à une nouvelle technologie fédérale serait une écueil pour les DSI de l’État... qui ont du mal à financer correctement leurs efforts de cybersécurité. La majorité des États ne disposent pas d’un budget dédié à la cybersécurité, selon les mesures de la NASCIO, ce qui signifie qu’il doit provenir d’un financement informatique général... Les DSI et les RSSI n’ont pas suffisamment de main-d’œuvre pour s’assurer qu’ils sont en mesure de gérer toutes les menaces auxquelles ils sont confrontés. »
Tout ce qui précède est exact, mais problématique. Pour les organisations gouvernementales étatiques et locales, disposer des ressources nécessaires pour acquérir plus de technologies en plus des éléments de la pile technologique existante qui sont inutilisés ou mal déployés peut sembler être une écueil, mais ne résoudra pas les défis fondamentaux qui les laissent ouverts aux perturbations en premier lieu. Vous ne pouvez pas « s’affranchir » des vecteurs de menaces ; la plupart des violations réussies se produisent parce que les organisations n’ont pas pris les bonnes mesures pour améliorer l’hygiène informatique, corriger les vulnérabilités et configurer correctement leurs environnements pour un accès à moindre privilège.
Comme notre RSSI des Amériques, Chris Hallenbeck, m’a décrit, une façon d’examiner cette législation est qu’elle équiperait mieux les DSI. Une autre façon est que cela créerait un jeu de blâme lorsque quelque chose de mauvais se produit.
« Les DSI peuvent augmenter leur budget informatique grâce à l’aide de dollars fédéraux ou blâmer les incidents pour ne pas avoir obtenu ce qui leur a été promis par le gouvernement fédéral », a déclaré Chris. « Aujourd’hui, la plupart des DSI d’État agissent avec la plus grande intégrité et souhaitent protéger leurs systèmes et leurs constituants contre les cybermenaces incessantes et toujours présentes. Mais la manière dont la facture est actuellement construite n’inspire pas le bon comportement qui rendra finalement leurs environnements plus résilients aux perturbations. »
Avez-vous besoin de tous ces outils ? Sont-ils les bons outils ?
Comme le note Chris, un allègement budgétaire apporterait plus d’avantages s’il était dirigé dans les bons domaines. Si les États doivent recevoir de l’argent fédéral, ils peuvent le dépenser sur des problèmes historiquement sous-financés ou largement ignorés pertinents pour l’hygiène informatique, en particulier la gestion des correctifs, l’inventaire des actifs et le contrôle d’accès. Les agences gouvernementales savent qu’elles doivent s’améliorer dans ces domaines ;la phase 1 du programme de diagnostic et d’atténuation continus (CDM) du DHS est une initiative en cours. Mais assurons-nous qu’il existe des contrôles qui tiennent les DSI et les RSSI responsables des résultats, et non pas du pointage du doigt, lorsqu’un incident se produit.
Nos équipes SLED ici chez Tanium passent beaucoup de temps avec des leaders technologiques étatiques et locaux qui ont investi dans quelques outils ponctuels de produits et de sécurité, encourent des événements perturbateurs, puis passent des semaines, des mois, voire des années à discuter avec leurs fournisseurs pour se demander pourquoi ces outils n’ont pas aidé. La mise en place de ressources supplémentaires pour la sécurité et les opérations informatiques ne résout pas les problèmes. Il s’agit toujours d’exécuter un plan en ayant les bons objectifs à l’esprit.
L’assistance technique fédérale ferait la plus grande différence si elle était utilisée par les États pour la formation et les évaluations. Il s’agirait notamment d’identifier les initiatives d’hygiène et d’effectuer une analyse des écarts pour comprendre où les outils actuellement déployés se chevauchent et quelles capacités sont encore manquantes en conséquence. Les DSI et RSSI d’État proactifs pourraient utiliser cette analyse comme une opportunité de consolider et de réduire leur nombre global d’outils.
Signaler les bonnes choses
La question la plus importante que j’ai sur la facture est ce que la nouvelle législation fournira pour les exigences de déclaration. De nombreux obstacles à l’assistance technique et à la formation sont déjà disponibles pour les États aujourd’hui auprès du Département de la sécurité intérieure. La législation exige spécifiquement que le DHS rende compte au Comité de sécurité intérieure et des affaires gouvernementales du Sénat (HSGAC) tous les deux ans de la posture de sécurité de chaque État.
Mais le DHS ne pourra rendre compte que dans la mesure où les États fournissent volontairement des données utiles, et les États ne seront pas incités à rendre compte s’ils pensent que tout ce que le Congrès fera est de les comparer à leurs pairs. Si le DHS souhaite rendre les rapports efficaces et aider les États à réellement améliorer la manière dont ils sécurisent leurs environnements informatiques, la législation doit insister sur les rapports obligatoires si les États souhaitent accéder au financement fédéral. Cela peut être fait sous forme agrégée.
Si, lors de la mesure, il existe une indication que certains États sont considérablement en retard malgré le financement et l’accès aux ressources, alors la législation sera révisée pour exiger des rapports spécifiques, état par état. Mais avant tout, cette législation devrait consister à inspirer le bon comportement pour résoudre les défis des cyberattaques incessantes.
Il est impossible de protéger ce qui est invisible
Les leaders technologiques de l’État, comme tous les leaders technologiques, sont bombardés de messages et de promesses vides de la part de fournisseurs de toutes tailles pour résoudre leurs problèmes en achetant les derniers outils et services. Mais lorsqu’ils sont confrontés à des budgets limités, à un personnel limité et à une technologie parfois peu fiable, les dirigeants doivent faire de meilleurs choix et investir dans ce qui rendra réellement leurs environnements plus résilients aux perturbations.
Tanium fournit une véritable solution de plateforme permettant aux organisations SLED d’améliorer la cyberhygiène grâce à une visibilité et un contrôle en temps réel des appareils des endpoints. Pour en savoir plus, rendez-vous surnotre page de ressources pour le gouvernement d’État et local.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
À propos de l’auteur : Tyker Fagg est vice-président des programmes éducatifs et gouvernementaux locaux et d’État américains chez Tanium.
