Mise à jour du matériel et des logiciels de base. Amélioration de la détection des terminaux dans l' . Mise en place de contrôles essentiels en matière d'identité et d'accès. Mise à jour des systèmes de sécurité clés d' .
Voici quelques-unes des mesures que les responsables de la sécurité des systèmes d'information (RSSI) des administrations d'État et locales ont mises en œuvre grâce aux fonds qu'ils ont reçus au titre de la première année du programme de subventions en matière de cybersécurité lié à la loi bipartisane sur les infrastructures du président Biden. Par ailleurs, les candidats à la 2 e édition du programme fédéral attendent actuellement de savoir s'ils bénéficieront d'un financement.
Ils peuvent faire bien plus que simplement attendre. Il y a beaucoup à tirer des débuts difficiles de ce programme – et ces entités ont tout lieu de commencer à planifier la prochaine étape.
Affirmer que le programme de subventions pour la cybersécurité au niveau des États et des collectivités locales (SLCGP) de l’ , doté d’un budget d’un milliard de dollars, qui a été lancé en 2022, s’est déroulé sans heurts serait peut-être exagéré : des confusions ont parfois régné concernant les critères d’éligibilité et les délais ; les tribus, à leur grand regret, n’ont pas été incluses lors de la première année du programme ; et de nombreux acteurs du secteur se demandent si le programme sera prolongé au-delà de sa durée actuelle de quatre ans.
Malgré tout cela, les observateurs du secteur restent optimistes, affirmant que le SLCGP se déroule comme prévu. Les États et les territoires américains ont sollicité un financement de 185 millions de dollars en 2022, et en 2023, alors que 380 millions de dollars étaient à pourvoir, 48 États et six territoires ont respecté la date limite fixée au mois de septembre pour soumettre des plans détaillés en matière de cybersécurité à l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) et à l'Agence fédérale de gestion des urgences (FEMA), qui supervisent le programme. Ces projets font actuellement l'objet d'un examen.
Même si ceux qui ont soumis des propositions ces derniers mois peuvent avoir l'impression de pouvoir se consacrer à d'autres activités en attendant, c'est en réalité le moment idéal pour commencer à envisager des projets pour l'année 3. Au cours de l'année à venir, les fonds alloués au SLCGP commenceront à diminuer (300 millions de dollars seront disponibles pour l'exercice 2024, et 100 millions pour l'exercice 2025), ce qui rendra la concurrence très rude. Plus tôt les collectivités territoriales et leurs responsables de la sécurité pourront évaluer les avantages du programme SLCGP, alors que celui-ci entre dans sa phase d’adolescence, plus ils seront en mesure de planifier efficacement la phase de maturité à venir et, très probablement, la période qui suivra, lorsque ces fonds ne seront peut-être plus disponibles. Dans ce cas, les organisations qui se seront préparées le plus tôt auront les meilleures chances de protéger leurs réseaux et leurs membres.
Fonctionnement du SLCGP
À l'heure actuelle, les États bénéficiant d'un financement au titre du SLCGP doivent veiller à ce qu'au moins 80 % de ce montant soit reversé aux collectivités locales. De plus, au moins 25 % du montant total des fonds mis à disposition au titre de cette subvention doivent être reversés aux communautés rurales. Chaque État publie ses propres procédures et délais à respecter par les collectivités locales pour solliciter ces subventions.
«Ce programme renforce la résilience de notre nation. »Alaina Clark, directrice adjointe chargée de la collaboration avec les parties prenantes, CISA
La situation est un peu différente pour les nations tribales. Elles devaient soumettre leurs plans de cybersécurité au début de ce mois dans le cadre du programme de subventions pour la cybersécurité des tribus (TCGP) , récemment mis en place par l’, une émanation du SLCGP. Environ 8 millions de dollars ont été alloués aux tribus dans le cadre de ce programme. Plus la tribu est grande, plus ses membres auront droit à des prestations.
Paula Starr, directrice des systèmes d'information de la Nation Cherokee, explique que son équipe s'efforce activement d'obtenir un financement d'environ 1 million de dollars au titre du programme TCGP, tout en éprouvant des sentiments mitigés. D'une part, ils ont besoin d'argent. La Nation Cherokee, qui supervise les organismes fournissant des services à environ 460 000 membres de la tribu – dont beaucoup vivent dans des communautés rurales –, renforce son dispositif de cybersécurité malgré des budgets limités. Les fonds fédéraux pourraient donc être considérables, précise-t-elle.
Mais elle aurait souhaité que les tribus aient été prises en compte dès le début, au même titre que tout le monde.
« J’aimerais beaucoup que les nations tribales bénéficient à l’avenir des mêmes opportunités que les États , les comtés, , les comtés et les municipalités de tout le pays en matière de financements supplémentaires, ce qui aiderait les territoires indiens à mieux répondre à leurs besoins en matière de cybersécurité et à offrir le niveau de protection en la matière que les nations tribales et leurs citoyens méritent », déclare-t-elle.
Prise de défense concernant les dysfonctionnements du SLCGP
Interrogée sur le retard pris dans le financement des tribus, Alaina Clark, directrice adjointe chargée de la collaboration avec les parties prenantes à la CISA, a défendu le programme en expliquant qu’il encourageait les États, les tribus et les territoires à présenter des plans stratégiques de cybersécurité adaptés à leurs besoins spécifiques et que, s’ils étaient approuvés, ils recevraient des fonds pour financer leurs projets.
«Nous souhaitons assurer une continuité au-delà du cycle de vie de ces subventions ; nous devrons donc, à un moment donné, convaincre le Congrès qu’il ne peut s’agir d’un simple investissement ponctuel. »Alex Whitaker, directeur des affaires gouvernementales, NASCIO
« Nous sommes fiers du travail accompli pour mettre en place un nouveau programme qui permet d’affecter les ressources de manière ciblée, là où elles peuvent avoir le plus d’impact », déclare M. Clark. « Ce programme renforce la résilience de notre pays, à mesure que les États élaborent des plans de cybersécurité et définissent des bonnes pratiques à l'échelle de leur territoire. »
Alex Whitaker, directeur des affaires gouvernementales de l'Association nationale des responsables informatiques des États (NASCIO), affirme que jusqu'à présent, à l'exception de quelques problèmes concernant les tribus et la manière dont les fonds seraient redistribués aux États et aux collectivités locales, le programme se déroule « plutôt bien ».
Selon lui, une préoccupation à plus long terme réside dans le fait que le programme SLCGP ne s'étend que jusqu'en 2026 ; il est donc difficile de dire si les États, les collectivités locales, les tribus et les territoires seront en mesure de poursuivre leurs efforts en matière de financement au-delà de cette date. En effet, un directeur des systèmes d'information d'un État a déclaré à la NASCIO qu'il était réticent à lancer un nouveau programme destiné aux collectivités locales, car celui-ci devrait être interrompu si le financement du SLCGP venait à être interrompu.
« Il faut assurer la continuité au-delà de la durée de vie de ces subventions », explique-t-il, « nous devrons donc, à un moment donné, convaincre le Congrès que cela ne peut pas se limiter à un simple investissement ponctuel. »
Une autre question qui se pose parfois est que le montant des financements consacrés à la cybersécurité dans le cadre du SLCGP n'est pas si élevé que cela, surtout si l'on tient compte du temps et des efforts que les équipes de sécurité consacrent à en obtenir. Cependant, les responsables de la sécurité des systèmes d'information (RSSI), tels qu' u Ryan Murray de l'État de l'Arizona, sollicitent généralement plusieurs subventions fédérales et nouent des partenariats avec d'autres États afin de financer leurs initiatives en matière de cybersécurité. « Chaque petit geste compte », pensent-ils.
Comment garantir les prestations du SLCGP à long terme
Les responsables de la sécurité avisés rationalisent les processus et réduisent le temps consacré à ces tâches grâce à des bonnes pratiques, qu’ils mettront probablement en œuvre lorsqu’ils solliciteront des subventions à l’occasion de la prochaine opportunité cet automne. Il s'agit notamment de :
- Mise à jour régulière des plans de cybersécurité : Étant donné que chaque année, il faut soumettre un plan mis à jour environ un mois après l'ouverture de la procédure de candidature, il n'est pas judicieux d'attendre la dernière minute pour l'élaborer. Tout comme les plans d'intervention en cas d' doivent être régulièrement mis à jour, les propositions en matière de cybersécurité destinées au SLCGP doivent faire l'objet d'un suivi et d'une évaluation réguliers. Cela implique de nommer du personnel et de mettre en place dès maintenant des procédures permettant d'actualiser les plans tout au long de l'année.
- Dialogue avec les acteurs locaux : Afin de répondre à l'exigence de répercuter les financements sur les collectivités locales, les États doivent discuter avec les responsables des comtés et d'autres dirigeants des mesures à prendre pour que ces derniers puissent bénéficier de ces fonds.
- Faire évoluer vos plans d’ s à l’échelle de l’État (WOS) de l’ — ou les mettre en place pour la première fois : . Une fois que vous aurez commencé à communiquer davantage avec les acteurs locaux, vous aurez plus de chances d’obtenir leur adhésion à une nouvelle stratégie WOS ou de modifier et d’améliorer celle dont vous disposez déjà. Les entités publiques qui ne s'unissent pas passent à côté d'une formidable opportunité de collaborer, d'échanger des données et de partager équitablement la charge liée aux pénuries de main-d'œuvre dans le secteur de l' .
- Une vision globale : En s'inspirant de l'exemple de l'Arizona, les États, les tribus et les territoires doivent prendre conscience que les subventions ne doivent pas nécessairement se limiter à des initiatives ponctuelles. Une fois ce modèle durable mis en place, il sera possible de solliciter d'autres sources de financement fédérales.
La plupart des candidats publics aux fonds du SLCGP comptent faire bon usage de cet argent, explique M. Whitaker. L'enquête « NASCIO 2023 State of CIO Survey » menée par l', par exemple, a révélé que les candidats utiliseront ces fonds pour améliorer la formation en cybersécurité, la détection au niveau des terminaux, les évaluations des risques, l'accompagnement de la migration vers le domaine .gov, ainsi que l'adoption de l'authentification multifactorielle (MFA) .
Cela correspond à ce que Jon James, responsable de la sécurité des systèmes d'information (RSSI) de la Nation Cherokee, envisage pour les organismes dont il assure le soutien.
James affirme que, jusqu'à il y a quelques années, les pirates informatiques ignoraient largement ces tribus. Mais alors qu’ils intensifiaient leurs attaques contre les réseaux gouvernementaux et de santé, ils ont découvert que les nations amérindiennes en disposaient également – et que ceux-ci étaient peu protégés. En conséquence, ils ont commencé à multiplier les attaques contre les tribus.
Aujourd'hui, après avoir mis en place un « programme complet de cybersécurité », explique-t-il, la Nation Cherokee se trouve dans une situation bien plus favorable. Mais il prévient qu'aucune des tribus ne peut se permettre de rester les bras croisés. Ils doivent saisir toutes les opportunités, y compris les subventions telles que le TCGP, pour renforcer leur niveau de sécurité, affirme-t-il.
« Il est important que les tribus prennent conscience que nous sommes nous aussi des cibles », déclare-t-il. « Nous devons renforcer notre dispositif global de sécurité, réduire les risques et bénéficier d’une meilleure visibilité et d’un meilleur contrôle sur les vulnérabilités de nos terminaux et de notre infrastructure réseau. »
