Une stratégie de cybersécurité à l'échelle de l'État, intitulée « » ( ) (s'ouvre dans un nouvel onglet) () ( ), rassemble toutes les entités gouvernementales d'un État afin qu'elles collaborent pour améliorer collectivement leurs capacités en matière de cybersécurité. Cette stratégie, souvent mise en place à l'initiative du bureau du gouverneur et de l'assemblée législative, permet à toutes les entités publiques d'un État — même au plus petit des districts scolaires ou des communes — de bénéficier d'une formation renforcée en matière de sécurité, d'informations plus récentes sur les menaces et d'outils plus récents et plus efficaces.
Une stratégie de cybersécurité à l'échelle de l'État comprend trois phases :
- Gouvernance et élaboration des politiques
- Mise en œuvre
- Validation
Dans le cadre de la phase de gouvernance et d'élaboration des politiques de l' (s'ouvre dans un nouvel onglet), les responsables informatiques et de la sécurité de tout l'État se réunissent pour adopter des cadres de sécurité et définir des politiques ainsi que des bonnes pratiques. Dans le cadre de la phase de mise en œuvre du programme « » ( ) (s'ouvre dans un nouvel onglet), ils proposent des formations et mettent à disposition des outils afin que les entités publiques, quelle que soit leur taille, puissent mettre en œuvre ces politiques.
J'ai abordé ces deux phases dans des articles de blog précédents. Dans l'article de blog d'aujourd'hui, je vais m'intéresser à la phase de validation, au cours de laquelle des équipes à l'échelle de l'État analysent et valident leurs travaux en matière de cybersécurité à tout moment. Au cours de cette phase, les équipes de tout l'État se penchent sur des questions telles que :
- Comment savoir si les outils et les pratiques de sécurité que nous avons mis en place renforcent réellement nos défenses en matière de cybersécurité ?
- Quels sont les aspects de notre programme de cybersécurité qui fonctionnent bien, et lesquels ne fonctionnent pas ?
- Quelles activités et quels investissements faudrait-il privilégier à l'avenir ?
- Y a-t-il des organisations en particulier qui ont besoin d'aide de toute urgence ? Si tel est le cas, comment d'autres organisations peuvent-elles leur venir en aide ?
Voici quelques recommandations pour assurer le succès de la phase de validation.
La collaboration reste essentielle
La première chose à savoir concernant la phase de validation d'une stratégie à l'échelle de l'État, c'est que les relations et la confiance que les équipes ont su établir au cours des phases précédentes de cette stratégie continuent de jouer un rôle important à ce stade. En réalité, elles sont indispensables.
La validation consiste à partager des informations et à aider l'État dans son ensemble à hiérarchiser les domaines qui nécessitent une attention particulière. Ce travail nécessite une collaboration, tant au sein de chaque entité gouvernementale qu'entre toutes les entités participant au programme à l'échelle de l'État. Et c'est au cours de cette phase que les fruits de cette collaboration deviennent visibles, car c'est grâce à la validation que l'on peut réellement constater que l'équipe dans son ensemble progresse.
Mettez l'accent sur les objectifs et les résultats
Pour évaluer globalement le programme de cybersécurité à l'échelle de l'État, les responsables doivent déterminer quels sont les objectifs et les indicateurs qui leur tiennent à cœur, puis s'assurer que ces objectifs et indicateurs font l'objet d'un suivi. Il y a de fortes chances qu'ils aient déjà défini ces objectifs lors des phases d'élaboration et de mise en œuvre des politiques. En réalité, ces objectifs ont sans doute influencé les décisions concernant les besoins budgétaires, le choix des outils et bien d’autres aspects encore.
Dans mon article de blog consacré à la phase de mise en œuvre, j'ai recommandé d'établir une liste des « vingt principaux » indicateurs ou objectifs sur lesquels les entités devraient se concentrer, en particulier au cours des deux premières années de cette initiative à l'échelle de l'État. Vous souhaitez certainement suivre ces « vingt principaux » indicateurs ou objectifs au cours de la phase de validation.
Idéalement, les objectifs et les indicateurs que vous choisissez devraient permettre d'évaluer de manière pertinente les progrès réalisés au fil du temps. En suivant ces indicateurs, les dirigeants et les parties prenantes devraient être en mesure de déterminer si le niveau global de cybersécurité de l'État s'améliore ou s'affaiblit. Si les indicateurs que vous suivez montrent une amélioration, mais que les administrations publiques sont victimes d'un nombre de cyberattaques plus élevé que jamais, il est temps de réexaminer vos données et de choisir des indicateurs plus pertinents.
Une fois que vous aurez sélectionné les indicateurs et les objectifs, vous devrez définir des valeurs de référence, notamment au début du projet. Demandez :
- Quels sont généralement les résultats obtenus pour ces indicateurs au sein des organisations participant au programme à l'échelle de l'État ?
- Quelle est la base de référence que nous souhaitons établir comme point de départ pour les améliorations ?
Au total, l'ensemble des équipes informatiques et de sécurité de l'État traitent un volume considérable de données, allant des adresses réseau, des inventaires de périphériques, de l'état des correctifs et des analyses antivirus jusqu'aux cadres de sécurité, aux listes de vulnérabilités et aux flux de renseignements sur les menaces. Pour suivre et valider vos objectifs et vos indicateurs, vous devez déterminer quelles données vous allez collecter et comment vous allez vous y prendre.
Et une fois ces données collectées, vous devrez déterminer comment les présenter. Passons maintenant à la question des rapports.
Mettez en place trois niveaux de hiérarchie
Pour valider la mise en œuvre des outils et des pratiques adoptés dans le cadre d’une politique de cybersécurité à l’échelle de l’État, depuis le travail des techniciens informatiques au sein des organisations de tout l’État jusqu’aux chefs d’équipe travaillant très probablement en collaboration avec le cabinet du gouverneur et l’Assemblée législative, trois niveaux de reporting sont nécessaires :
- Rapports techniques
- Rapports destinés à la direction
- Reporting au niveau de l'entreprise
Rapports techniques
Il s'agit du niveau de reporting le plus bas, qui fournit des informations sur ce qui se passe sur les réseaux et les appareils. Les analystes du Centre des opérations de sécurité (SOC), les responsables réseau, les administrateurs système et autres spécialistes techniques s'appuient quotidiennement sur ces rapports pour comprendre l'état de leurs réseaux et de leurs ressources informatiques, et pour déterminer si une situation nécessite une intervention immédiate.
Les informations issues de ce niveau de reporting doivent permettre de prendre des mesures concrètes. Par exemple, elle devrait être capable de fournir des rapports sur l'inventaire des appareils, l'état des correctifs, l'état des menaces, etc. Si un problème doit être résolu, il devrait apparaître dans ce niveau de rapport. Et une fois que cela aura été corrigé, ce changement de statut devrait également apparaître ici.
Les rapports techniques devraient fournir des données permettant d'évaluer l'état d'avancement de chaque objectif majeur en matière de sécurité dans le cadre de la stratégie globale de l'État. Si un objectif de sécurité ne peut pas être mesuré, il faut alors mettre en place de nouveaux outils et dispositifs.
Rapports destinés à la direction
Le niveau supérieur correspond aux rapports destinés à la direction. Ce rapport présente une vue d'ensemble des performances d'une entité publique donnée en matière de sécurité informatique. Ce niveau résume les informations détaillées issues du niveau de rapport technique. Il fournit des informations concises sur l'état général de la sécurité, sous une forme accessible tant aux responsables techniques qu'aux responsables non techniques.
Lorsque j'ai collaboré avec l'État de l'Arizona à l'élaboration de sa stratégie de cybersécurité à l'échelle de l'État, nous avons jugé utile d'utiliser des représentations visuelles de type « vert/jaune/rouge » pour ce type de rapports. Un dirigeant doit pouvoir jeter un coup d'œil à ce type de rapport et identifier immédiatement les domaines qui sont en bonne voie (vert), ceux qui sont potentiellement préoccupants en raison d'un retard quelconque (jaune) et ceux qui nécessitent une intervention immédiate (rouge).
Les responsables informatiques et les dirigeants peuvent utiliser ce type de rapports pour :
- Demandez à l'équipe informatique de se pencher sur les problèmes qui nécessitent davantage d'attention.
- Veillez à ce que les ressources soient affectées de manière appropriée.
- Partager leurs réflexions et leurs expériences avec leurs homologues d'autres administrations publiques.
- Contribuez à ce travail de reporting afin d'aider l'équipe à l'échelle de l'État à produire des rapports du plus haut niveau — des rapports à l'échelle de l'entreprise.
Reporting au niveau de l'entreprise
Les rapports au niveau de l'entreprise regroupent et synthétisent les rapports destinés aux dirigeants de toutes les entités publiques de l'État. Ce rapport permet au gouverneur, à l'assemblée législative et à tous les membres de l'équipe participant à cette initiative à l'échelle de l'État de se faire une idée de l'état de préparation globale de l'État en matière de cybersécurité. Ce système rassemble tous les rapports de haut niveau générés par les différentes entités de l'État et les synthétise de manière utile.
Tout comme les rapports destinés à la direction, les rapports au niveau de l'entreprise doivent s'appuyer sur des chiffres concrets sans se perdre dans les détails. Il doit transmettre des informations importantes de manière simple et claire afin de garantir qu'elles soient compréhensibles par les responsables gouvernementaux chargés d'un grand nombre de dossiers publics, et pas uniquement de la cybersécurité.
Je vous recommande de conserver le système de signalisation par feux tricolores que j'ai décrit plus haut, en utilisant des graphiques verts, jaunes et rouges pour indiquer rapidement ce qui fonctionne bien et ce qui nécessite une attention particulière, voire une attention urgente.
Grâce à ce niveau de reporting, les dirigeants devraient être en mesure de comprendre le niveau de préparation face aux risques de chaque entité publique. Ce rapport pourrait mettre en évidence des domaines à risque qui avaient été négligés jusqu'à présent.
Ce rapport remplit plusieurs fonctions importantes :
- Analyses approfondies
Ce document offre aux responsables gouvernementaux une vue d'ensemble de la situation de l'État en matière de cybersécurité (c'est-à-dire la résilience globale de ses outils et pratiques de cybersécurité). Il est fort probable que ces dirigeants n'aient jamais disposé auparavant de rapports aussi complets. - Informations exploitables
Cela permet aux dirigeants d'identifier les initiatives qui portent leurs fruits et celles qui pourraient nécessiter une attention particulière. Ces efforts peuvent porter sur certains types de menaces qui touchent l'ensemble des organisations, ou bien sur des problèmes spécifiques auxquels certaines organisations sont confrontées. Par exemple, le rapport pourrait montrer que les établissements scolaires de la maternelle à la terminale ont du mal à mettre en place des mesures de détection des menaces. L'équipe inter-organisations pourra alors décider de la meilleure façon de traiter cette question. - Justification du financement
L'analyse comparative et la mise en évidence des progrès réalisés devraient aider l'ensemble des participants à l'échelle de l'État à justifier l'octroi de financements provenant de l'État et, éventuellement, de ressources fédérales.
Mettez en place un système de reporting continu, et non des audits ponctuels
Vous pourriez considérer le reporting et la validation comme s'apparentant à un audit. Cependant, un audit ne reflète que l'état de votre dispositif de cybersécurité à un moment donné. Cette situation pourrait changer d’une minute à l’autre, dès qu’un appareil infecté se connecte au réseau, qu’une nouvelle faille de sécurité est signalée ou qu’un nouveau type d’attaque « zero-day » est détecté dans la nature.
Pour obtenir une image véritablement précise de la situation en matière de cybersécurité de toute entité publique, vous devez mettre en place une surveillance et une analyse continues et en temps réel. Ce type d'analyse n'est possible que grâce à l'automatisation. Les outils de sécurité informatique devraient être capables de collecter et de communiquer des données de manière continue et automatique, plutôt que de nécessiter une intervention manuelle, chronophage, de la part des techniciens informatiques.
Grâce à un suivi et à un reporting continus, les équipes à tous les niveaux peuvent consulter les données les plus récentes sans qu'il soit nécessaire de faire appel à un groupe de travail spécifique pour collecter les indicateurs hebdomadaires ou mensuels. Ces données peuvent être communiquées chaque semaine ou chaque mois, mais quelle que soit la fréquence de leur communication, elles sont toujours à jour et offrent ainsi une image précise des points forts et des points faibles actuels en matière de cybersécurité.
Envisagez la gamification
L'équipe chargée de la cybersécurité à l'échelle de l'État pourrait envisager d'introduire une dimension ludique dans le processus de reporting, afin d'encourager un esprit de compétition amicale entre les différentes entités gouvernementales dans la poursuite de leurs objectifs en matière de cybersécurité. Les chefs d'équipe peuvent décerner des badges ou d'autres récompenses symboliques pour saluer certaines réalisations, telles que l'atteinte d'un ensemble d'objectifs précis ou l'obtention de la première place dans une catégorie comme la couverture des correctifs.
Il a été démontré que la gamification permet d'améliorer la motivation et l'engagement des employés (s'ouvre dans un nouvel onglet) dans le cadre de la formation à la cybersécurité. Cela pourrait sans doute également aider les États dans la mise en œuvre de leurs programmes de cybersécurité à l'échelle de l'État.
L'importance de la visibilité pour réduire les risques
La visibilité est essentielle en matière de cybersécurité. On ne peut pas protéger quelque chose qu'on ne voit pas. Vous ne pouvez pas résoudre un problème si vous ne savez pas qu'il existe.
À mesure que les capacités de reporting de l'équipe à l'échelle de l'État se consolideront et que vous disposerez d'une meilleure visibilité sur votre niveau de sécurité et vos opérations, certains éléments apparaîtront clairement. Vous découvrirez quels produits sont efficaces et lesquels ne le sont pas. Vous pourriez également découvrir certains produits qui sont superflus ou que vous n'utilisez pratiquement jamais.
Les rapports vous offrent la visibilité dont vous avez besoin pour affiner votre sélection d'outils et votre stratégie d'achat. En vous aidant à choisir les bons outils, les rapports contribuent à rendre vos investissements en matière de cybersécurité globalement plus efficaces.
En fin de compte, un programme de cybersécurité à l'échelle de l'État vise avant tout à réduire les risques. Les rapports vous permettent d'identifier les risques, de prendre des mesures correctives et de démontrer la valeur de ce travail à toutes les parties prenantes.
En savoir plus
Les menaces liées à la cybersécurité ne cessent de gagner en fréquence et en sophistication. Heureusement, même les petites administrations publiques peuvent améliorer leurs pratiques en matière de sécurité en s'inscrivant dans une stratégie de cybersécurité à l'échelle de l'État. En mettant en œuvre ces stratégies globales et inclusives, les États peuvent veiller à ce que chaque entité publique située sur leur territoire dispose des meilleures formations, des meilleurs outils et des meilleures connaissances disponibles pour protéger ses données et ses infrastructures, et pour mener à bien ses missions.
Pour découvrir comment la plateforme Tanium Converged Endpoint Management d' , (s'ouvre dans un nouvel onglet) , peut aider votre organisation ou votre collectivité à élaborer une stratégie de cybersécurité aboutie, n'hésitez pas à nous contacter.
