Pour Ron Davis, une catastrophe potentielle est toujours à portée de clic. En tant que directeur de la sécurité de l’information pour Huntington Ingalls Industries, qui fournit des navires d’agression amphibies et des porte-avions et sous-marins à énergie nucléaire à l’arsenal national, son scénario d’attaque de cauchemar est moins WarGames et plus The Absent-Minded Professeur.
« Imaginons que vous disposiez d’un réseau de 100 employés », déclare Davis. « Le réseau est connecté à Internet. Cinquante personnes reçoivent un e-mail et l’une des 50 personnes clique sur le lien. »
Lorsque vous cliquez sur ce lien, dit Davis, « quelque chose de mauvais se produit en arrière-plan ». Et, tout comme cela, une personne extérieure à l’entreprise « devient effectivement une menace interne », dit-il.
Davis dirige l’équipe informatique de sécurité chez Ingalls, la plus grande entreprise de construction navale militaire des États-Unis, depuis 2017. Un jour type, ses systèmes peuvent être confrontés à des programmes malveillants, à l’hameçonnage et au piratage, tous ciblant Ingalls ainsi que les informations gouvernementales exclusives qu’il héberge. Selon le rapport annuel Ingalls 2020 , ces menaces proviennent de nombreux fronts : États-nations, syndicats de cybercriminels et hacktivistes cherchant à promouvoir un programme politique.
Bien qu’Ingalls n’ait pas été piraté sur sa montre, Davis dit que la dynamique change quotidiennement. « Nous avons pris des coups et nous avons réussi à répondre à ces attaques », dit-il. Mais « c’est un barrage qui s’est produit au cours de l’année et demie dernière, deux ans. »
Il n’est pas seul. L’industrie de la défense est dominée par quelques entreprises connues comme Ingalls, Lockheed Martin, Raytheon Technologies, Northrop Grumman et Boeing. Mais, en fait, elle est très fragmentée, avec quelque 700 000 entreprises, dont beaucoup ont un chiffre d’affaires annuel inférieur à 15 millions
USD, qui s’efforcent de répondre aux besoins sensibles de l’armée.
Et ils sont tous vulnérables. Selon une étude de la National Defense Industrial Association (NDIA), environ 44 % des entrepreneurs de défense américains comptant plus de 500 employés avaient subi une cyberattaque à partir de 2019.
Au cours des dernières années, le Bureau de responsabilisation du gouvernement américain (GAO) a publié plusieurs rapports sur l’échec du Département de la défense (DOD) à maintenir une cybersécurité appropriée. En 2018, le chien de garde de la GAO a déclaré que le DOD était confronté à des « défis de plus en plus complexes pour protéger ses systèmes d’armes contre les cybermenaces de plus en plus sophistiquées ». En 2020,
il a déclaré que le service n’avait pas encore pleinement mis en œuvre son plan de cyberhygiène 2015 . Cette année, le GAO a déclaré avoir trouvé des contrats pour des systèmes d’armes qui omettaient les exigences de cybersécurité et les processus de vérification.
[Lire également : Comment les DSI gouvernementaux peuvent jouer plus dur D]
Une partie du défi de cybersécurité pour les entrepreneurs est bureaucratique. Les exigences et protocoles de cybersécurité peuvent différer d’une agence à l’autre. Ils ajoutent également des couches de coûts au budget d’un entrepreneur. Et comme la conformité passe largement par le système d’honneur (c’est-à-dire que les sous-traitants vérifient eux-mêmes les cases bureaucratiques appropriées), certains sous-traitants prennent des raccourcis.
Cela les rend, eux et le ministère de la Défense, vulnérables aux violations, déclare Leigh Armistead, président de Peregrine Technical Solutions, une société de conseil en cybersécurité ayant une expérience en matière de défense. « Comme tout secteur », observe-t-il, « jusqu’à ce que vous ayez une carotte ou un bâton, les entreprises commerciales peuvent décider ou non de se conformer à [ces exigences]. »
Cyber-faiblesses
Les défis actuels en matière de cybersécurité pour les agences de défense sont historiques. Les systèmes de défense, au sein et entre les branches militaires, n’étaient généralement pas encouragés à se connecter. « La sécurité depuis longtemps a été beaucoup déformée », déclare William Sako, vice-président du conseil en risques de sécurité chez Telgian Engineering & Consulting, qui fournit une atténuation des risques pour les projets publics et privés. « Vous ne vouliez que personne connaisse votre code source. Vous ne vouliez que personne ne soit au courant de votre système. Tant qu’elle était propriétaire, elle était sûre. »
« La sécurité depuis longtemps a été beaucoup de dissimulation. Vous ne vouliez pas que quelqu’un connaisse votre système. »William Sako, vice-président du conseil en risques de sécurité, Telgian Engineering & ; Consulting
Les plateformes et systèmes propriétaires sont coûteux, et le secteur de la défense, comme d’autres secteurs d’activité, passe des infrastructures sur site aux réseaux et plateformes partagés pour réduire les coûts, améliorer les marges bénéficiaires et satisfaire les clients qui souhaitent une connectivité. Ce n’est pas grave si les systèmes que les sous-traitants partagent sont correctement protégés, mais ce n’est pas exactement comme cela que cela s’est passé.
« Les fabricants sont devenus vraiment fous de développer leur équipement pour travailler sans tenir compte des questions de sécurité », déclare Richard Mahnke, responsable régional des risques de sécurité chez Telgian.
En novembre 2020, le DOD a annoncé qu’il exigerait que tous les entrepreneurs de la défense obtiennent la certification du modèle de maturité de cybersécurité (CMMC), qui est un cadre qui mesure les informations d’identification de sécurité numérique d’un entrepreneur et la mesure dans laquelle il utilise les meilleures pratiques. Le déploiement a été affecté par le manque d’auditeurs pour traiter la certification, déclare Mark Kirstein, vice-président de la réussite des clients chez Cosant Cyber Security, un cabinet de conseil au service des petites et moyennes organisations.
Des règles de cybersécurité rigoureuses et complètes pour les entrepreneurs de la défense sont très nécessaires. Les cyberattaques sont l’une des principales armes que les États-nations utilisent pour voler la propriété intellectuelle militaire, déclare Kirstein. Les chasses à réaction, missiles et chars d’autres pays « ressemblent exactement aux nôtres. [Ces pays passent] par des entrepreneurs de défense et accèdent aux supports intellectuels. »
Les coûts associés aux protocoles de cybersécurité du ministère de la Défense peuvent être difficiles pour les petits entrepreneurs. Les agences peuvent avoir certaines normes de sécurité en cours d’examen, ou être en train d’émettre des normes finales sur les exigences intermédiaires, ce qui peut entraîner des coûts supplémentaires pour l’entrepreneur lorsque les règles sont formalisées.
« Mon expérience avec les sous-traitants est que beaucoup d’entre eux attendent que les normes finales arrivent », déclare Alex Gorelik, avocat associé chez Smith, Currie & Hancock, un cabinet d’avocats spécialisé dans les contrats gouvernementaux et la construction. « Ils veulent s’assurer qu’ils mettent à niveau leurs normes de cybersécurité qu’ils le font une fois, et non plusieurs fois. »
Les entrepreneurs gèrent les exigences de sécurité de différentes manières. Il existe des entreprises qui mettent en œuvre toutes les normes appropriées pour les agences qu’elles servent, explique Davis. Ensuite, il y a des sous-traitants qui pensent avoir satisfait aux normes, mais, comme cela devient évident lorsqu’ils sont piratés, ils ne l’ont pas réellement fait. Souvent, ce n’est pas entièrement leur faute. Davis déclare que les entrepreneurs disposant de peu d’expertise en cybersécurité mettront eux-mêmes en œuvre la sécurité numérique au lieu d’embaucher un spécialiste externe.
« La compréhension du niveau de sophistication des attaques qui arrive chez les entrepreneurs de la défense n’est tout simplement pas là pour certains des plus petits entrepreneurs », déclare Davis. « Lorsque vous approfondissez ce que font ces petits entrepreneurs, vous réalisez qu’ils n’ont pas une bonne compréhension de la cybersécurité, ce qui entraîne une mauvaise mise en œuvre. »
Vecteurs IoT
Alors que le DOD et ses milliers d’entrepreneurs de la défense civile ont eu du mal à créer des mécanismes de cybersécurité cohérents, de nouveaux cyber-risques liés aux appareils Internet des objets (IdO) se sont ouverts.
« C’est là que se trouvent d’énormes vecteurs de menaces », déclare Armistead.
De nombreux projets, qu’il s’agisse de systèmes d’armes sur le terrain, de avions de chasse, de porte-avions ou de sous-marins, utilisent des capteurs, des équipements de surveillance, des contrôleurs industriels et des communications sans fil, et ces outils dépendent de plus en plus de la technologie IoT. En fait, le GAO a signalé que l’utilisation de l’IdO augmente entre les agences et les services, à la fois pour réduire les coûts et créer de nouveaux services.
Alors que les entrepreneurs adoptent rapidement l’IdO, ce n’est que fin l’année dernière que le Congrès a adopté la loi sur l’amélioration de la cybersécurité de l’IdO, ordonnant au National Institute of Standards and Technology (NIST) de développer et de publier des directives pour les agences gouvernementales sur l’utilisation, la gestion et la sécurité des appareils IdO. Le rattrapage réglementaire a signifié qu’une action draconienne a été requise pour fermer la porte aux vulnérabilités de l’IdO. Par exemple, une interdiction récente de l’utilisation des caméras et des équipements de surveillance fournis par la Chine était nécessaire en raison des « portes dérobées » incluses par le fournisseur, déclare Davis.
Même les dépenses de défense en dehors des contrats commerciaux peuvent déclencher des vulnérabilités. L’inspecteur général du DOD a publié un rapport en 2019 notant que l’armée et l’armée de l’air avaient acheté l’année précédente au moins 32,8 millions USD d’« éléments de technologie de l’information, tels que les ordinateurs Lenovo, les imprimantes Lexmark et les caméras GoPro, avec des vulnérabilités connues en matière de cybersécurité ».
« Nous transmettons le risque à travers la chaîne d’approvisionnement jusqu’à ce que nous ne sachions pas avec qui nous faisons des affaires, nous ne savons pas comment le valider, et nous nous retrouvons avec un problème SolarWinds », déclare Jeffrey R. Wells, coprésident de l’équipe de cybersécurité, de protection des données et de confidentialité chez Clark Hill, un grand cabinet d’avocats international. (SolarWinds, une société américaine de technologies de l’information, a fait l’objet d’une cyberattaque, considérée comme commise par des pirates russes, qui s’est propagée à ses clients et n’a pas été détectée pendant des mois.)
Comment se conformer
En mai, le président Biden a émis un décret visant à améliorer la cybersécurité du pays. L’ordonnance a établi une stratégie de partenariat entre les secteurs gouvernementaux et privés pour éliminer les obstacles contractuels au partage des informations sur les menaces, adopter les meilleures pratiques de sécurité et améliorer la sécurité de la chaîne d’approvisionnement logicielle.
« La compréhension du niveau de sophistication des attaques qui arrive chez les entrepreneurs de la défense n’est tout simplement pas là pour certains des plus petits entrepreneurs »Ron Davis, RSSI, Huntington Ingalls Industries
Bien qu’Armistead accueille la commande, il dit que les entrepreneurs en défense doivent contrôler leur propre stratégie de cybersécurité. Cela signifie que les entreprises qui soumissionnent pour des contrats de défense doivent être satisfaites des coûts associés aux nouveaux protocoles de cybersécurité et être confiantes que leurs cyberdéfenses internes peuvent fournir au-delà de ce que le ministère de la Défense exige.
Les entrepreneurs en défense peuvent faire beaucoup plus. Par exemple, l’utilisation d’outils de sécurité de base tels que les pare-feux et l’authentification multifacteur par les petites entreprises est « à un taux [d’adoption] beaucoup plus faible que les grandes entreprises », selon l’étude de la NDIA.
Armistead déclare que les organisations devraient se poser des questions fondamentales sur la cyberhygiène , qui traiteront souvent les risques auxquels elles sont actuellement confrontées.
[Lire également : Cyberhygiène : la gestion proactive des risques commence ici]
Des questions comme celles-ci peuvent indiquer des solutions en temps réel : mettez-vous à jour votre logiciel réseau ? Connaissez-vous votre inventaire d’actifs ? Avez-vous des politiques de cybersécurité ? Autorisez-vous toutes les personnes à disposer d’un privilège administratif ? Les gens peuvent-ils utiliser leurs propres ordinateurs portables ? Avez-vous un plan de réponse aux incidents ? Avez-vous mis en œuvre un modèle d’accès réseau Zero Trust ?
« Une grande partie de cela est du bon sens », déclare Armistead. « Il y a une tonne d’entreprises qui ne font pas les bases. »
