Kojima Industries, fournisseur de Toyota Motors, a été victime en février d'une cyberattaque signalée par l' , qui a entraîné la suspension de 28 chaînes de production Toyota réparties sur 14 usines, perturbant gravement la chaîne d'approvisionnement. Quatre mois plus tard, dans le cadre d’une nouvelle perturbation de la chaîne d’approvisionnement, le fabricant japonais de flexibles automobiles Nichirin a indiqué qu’une filiale américaine d’ , , avait été victime d’une attaque par ransomware, ce qui a contraint le fabricant à mettre son réseau hors ligne et à limiter la production de certains composants spécialisés.
Les attaques visant la chaîne d'approvisionnement de ce type sont en augmentation, comme le montre une étude d' — et le gouvernement américain en prend bonne note.
En mai, l’Institut national des normes et des technologies (NIST) a publié un document-cadre de 326 pages intitulé « » ( ) sur la sécurisation des chaînes d’approvisionnement contre les cyberattaques, tandis que le Comité d’examen de la cybersécurité (CSRB) a publié en juillet un rapport intitulé « » ( ) contenant des recommandations en matière de cybersécurité fondées sur une analyse de la vulnérabilité Log4j . Tout récemment, le Bureau de la gestion et du budget (OMB) a publié des lignes directrices intitulées « » ( ) afin de garantir que les agences fédérales utilisent des logiciels développés conformément aux pratiques courantes en matière de cybersécurité. Par ailleurs, dans le même ordre d’idées, la SEC ( ) a proposé une mesure prévoyant que les dirigeants des sociétés cotées en bourse, ainsi que leurs conseils d’administration, soient tenus de signaler rapidement les incidents de cybersécurité et de renforcer la surveillance de la sécurité au sein de leurs organisations.
« La vague récente de recommandations gouvernementales mérite d'être soulignée », déclare Kate Ledesma, directrice principale chargée des partenariats et des affaires gouvernementales au sein de la société d'évaluation de la cybersécurité SecurityScorecard. Ces recommandations font suite à une série d’incidents majeurs liés à la cybersécurité survenus ces dernières années, notamment ceux visant l’ , Log4j et , ainsi que les piratages de SolarWinds . Ces événements ont sensibilisé les dirigeants et les membres des conseils d'administration à l'importance du développement de logiciels sécurisés et d'autres pratiques en matière de sécurité numérique, explique-t-elle.
«Les produits utilisés par l’État intégreront ce niveau de sécurité de base, ce qui profitera à tous les acheteurs, même en dehors du secteur public. »Kate Ledesma, directrice principale chargée des partenariats et des affaires gouvernementales chez SecurityScorecard
« Aujourd’hui, le gouvernement affirme que, pour pouvoir travailler avec nous, il attend de vous que vous fournissiez ces éléments, ce qui fait véritablement progresser l’ensemble du secteur », déclare M. Ledesma. « Les produits utilisés par l'État intégreront ce niveau de sécurité de base, ce qui profitera à tous les acheteurs, même en dehors du secteur public. » « Ils montrent ainsi que tous les acteurs de l’écosystème — et pas seulement le secteur public — sont attentifs à ces enjeux et s’y attaquent, et qu’ils font évoluer la situation en matière de sécurité pour tout le monde. »
Mme Ledesma a présenté quatre points à retenir des récentes recommandations du gouvernement, ainsi que ses propres conseils d'experte sur la manière dont les organisations peuvent s'adapter.
1. Les fonctionnalités logicielles ne sont plus à l'ordre du jour, c'est désormais la sécurité logicielle qui prime
Au cours des dernières années, de plus en plus d'organisations ont vu leurs priorités évoluer : elles privilégient désormais la sécurité des logiciels plutôt que leurs fonctionnalités, explique M. Ledesma. Dans le communiqué de presse de la Maison Blanche concernant les nouvelles directives de sécurité émises par l’OMB, Chris DeRusha, responsable fédéral de la sécurité des systèmes d’information (CISO) et directeur adjoint de la cybersécurité nationale, a souligné cette priorité : « Il n’y a pas si longtemps, le seul véritable critère de qualité d’un logiciel était de savoir s’il fonctionnait comme annoncé », a-t-il écrit. « Compte tenu des cybermenaces auxquelles sont confrontées les agences fédérales, notre technologie doit être développée de manière à être résiliente et sécurisée, afin de garantir la fourniture de services essentiels à la population américaine tout en protégeant les données des citoyens américains et en nous prémunissant contre l’ e des adversaires étrangers. »
«Il n’y a pas si longtemps, le seul véritable critère de qualité d’un logiciel était de savoir s’il fonctionnait comme annoncé. »Chris DeRusha, responsable fédéral de la sécurité des systèmes d'information (CISO) et directeur adjoint de la cybersécurité nationale
M. Ledesma affirme que les développeurs de logiciels devraient mettre en œuvre des pratiques conformes au cadre de développement de la sécurité logicielle du NIST. Ce cadre met l'accent sur une approche à l'échelle de l'organisation, ajoute-t-elle, dans laquelle le développement de logiciels sécurisés n'est plus la seule responsabilité des développeurs. « Tout le monde — les fournisseurs, les utilisateurs et les acheteurs — doit travailler main dans la main pour disposer des outils et des cadres nécessaires pour faire face à cette situation », déclare-t-elle.
2. La documentation et la cohérence sont essentielles
Selon M. Ledesma, les organisations doivent accorder la priorité à la documentation et à la démonstration de la cohérence dans le développement de logiciels sécurisés. La Maison Blanche, par exemple, a récemment chargé la CISA et l'OMB d'élaborer un formulaire commun que les éditeurs de logiciels devront utiliser afin de garantir que les technologies qu'ils vendent à l'État respectent les directives de sécurité du NIST.
M. Ledesma explique que cette mesure s'inscrit dans le cadre d'une initiative visant à harmoniser la manière dont les utilisateurs et les administrations publiques décrivent leur sécurité. « L’organisation A et l’organisation B peuvent exprimer les choses de deux manières différentes, mais s’agit-il de la même chose ? », demande-t-elle. « Leurs pratiques sont-elles aussi sûres les unes que les autres ? » « Cette auto-certification va vraiment aider les utilisateurs — et surtout les agences — à comparer ce qui est comparable. »
3. L'automatisation, c'est l'avenir
Le cadre du NIST préconise l'automatisation de l' afin de réduire la charge de travail humaine, d'améliorer la précision et de rationaliser les processus reproductibles. Cela comprend notamment des tâches telles que le suivi des flux de travail, des fonctionnalités de signature permettant de générer des journaux d'événements inaltérables, la surveillance continue des outils, ainsi que la consignation des problèmes opérationnels et de sécurité liés à ces outils. Selon M. Ledesma, l'automatisation est la seule solution permettant aux organisations de fonctionner à l'échelle et au rythme exigés aujourd'hui.
«Le simple fait d’être opérationnel ne suffit plus : les outils doivent être à la fois opérationnels et sécurisés. »Ledesma
« Il s’agit de fournir aux éditeurs comme aux acheteurs de logiciels les outils nécessaires pour évaluer les risques et vérifier si les produits logiciels sont sécurisés », explique-t-elle. « Le simple fait d’être opérationnel ne suffit plus : les outils doivent être à la fois opérationnels et sécurisés. »
4. Une approche de la sécurité fondée sur les risques doit être axée sur les résultats
Le cadre du NIST est axé sur les résultats, mais ne donne pas d'instructions précises sur la manière de les atteindre. Elle encourage également les organisations à adopter une approche fondée sur les risques, telle que décrite sur , et à adapter leur stratégie en conséquence. M. Ledesma explique que, même si le concept de pratiques axées sur les résultats de l’ n’est pas nouveau, il n’est certainement pas facile à mettre en œuvre : « Le cadre du NIST contribue à offrir à toutes les organisations de l’écosystème un point de départ commun et nous aide tous à parler le même langage. »
La valeur que les organisations tireront des recommandations du gouvernement dépendra du niveau de maturité de leurs pratiques en matière de sécurité, ajoute M. Ledesma. Les organisations moins expérimentées pourraient commencer par mettre en place un cadre de base pour leurs processus et procédures, tandis que les organisations plus avancées peuvent progresser dans ce cadre afin d'affiner et de développer encore davantage leurs processus et procédures.
« Le cadre du NIST repose en réalité sur un seul élément : la sécurité », déclare-t-elle. « Il s’agit en effet d’un écosystème de sécurité car, comme nous le savons, les pratiques de sécurité d’une organisation ont une incidence sur la sécurité de ses partenaires, de ses fournisseurs et de ses clients, puisqu’ils sont tous interconnectés. » « Les recommandations du gouvernement placent la barre plus haut pour tout le monde. »
