Une stratégie de cybersécurité à l’échelle de l’ensemble de l’État rassemble toutes les entités gouvernementales dans un État pour collaborer à l’amélioration collective de leurs capacités de cybersécurité. La stratégie, souvent initiée par le bureau du gouverneur et la législature, permet à toutes les entités gouvernementales d’un État, même le plus petit district scolaire ou la plus petite municipalité, de bénéficier d’une formation améliorée à la sécurité, d’une veille sur les menaces plus opportune et d’outils plus récents et plus efficaces.
Une stratégie de cybersécurité à l’échelle de l’ensemble de l’État se compose de trois phases :
- Gouvernance et politique
- Mise en œuvre
- Validation
Dans la phase de gouvernance et d’élaboration des politiques, les responsables informatiques et de la sécurité de l’ensemble de l’État se réunissent pour adopter des cadres de sécurité et définir des politiques et des meilleures pratiques. Dans la phase de mise en œuvre, ils fournissent une formation et déploient des ensembles d’outils afin que les entités gouvernementales de toute taille puissent mettre en œuvre ces politiques.
J’ai discuté de ces deux phases dans des articles de blog précédents. Dans le blog d’aujourd’hui, je vais me concentrer sur l’étape de validation, au cours de laquelle les équipes de l’ensemble de l’État analysent et valident leur travail de cybersécurité à tout moment. Dans cette phase, les équipes de l’État répondent à des questions telles que :
- Comment savons-nous que les outils et pratiques de sécurité que nous avons mis en place améliorent vraiment nos défenses en matière de cybersécurité ?
- Quelles parties de notre programme de cybersécurité fonctionnent bien et lesquelles ne fonctionnent pas ?
- Quelles activités et quels investissements doivent être prioritaires ensuite ?
- Y a-t-il des organisations particulières qui ont besoin d’aide en urgence ? Si oui, comment d’autres organisations peuvent-elles les aider ?
Voici quelques recommandations pour faire de la phase de validation un succès.
La collaboration est toujours importante
La première chose à savoir sur la phase de validation d’une stratégie globale est que les relations et la confiance que les équipes ont construites dans les phases antérieures de la stratégie globale sont toujours importantes ici. En fait, ils sont essentiels.
La validation consiste à partager des informations et à aider l’État à hiérarchiser globalement ce qui nécessite une attention supplémentaire. Ce travail nécessite une collaboration, à la fois au sein des entités gouvernementales individuelles et de toutes les entités participant au programme de l’ensemble de l’État. Et dans cette phase, les fruits de cette collaboration deviennent visibles, car c’est grâce à la validation que vous pouvez vraiment dire que l’équipe globale progresse.
Se concentrer sur les objectifs et les résultats
Pour valider l’ensemble du programme de cybersécurité de l’État, les dirigeants doivent déterminer les objectifs et les indicateurs qui les intéressent et s’assurer que ces objectifs et indicateurs sont suivis. Il y a de fortes chances qu’ils aient déjà identifié ces objectifs dans les phases d’élaboration des politiques et de mise en œuvre. En fait, ces objectifs ont probablement façonné les décisions concernant les exigences budgétaires, la sélection des outils, etc.
Dans mon article de blog sur la phase de mise en œuvre, j’ai recommandé de choisir une « liste des vingt principaux » indicateurs ou objectifs sur lesquels les entités doivent se concentrer, en particulier au cours de la première ou deux premières années de l’initiative de l’ensemble de l’État. Vous souhaitez certainement suivre ces « vingt premiers » indicateurs ou objectifs pendant la phase de validation.
Idéalement, les objectifs et les mesures que vous sélectionnez doivent fournir une mesure significative des progrès au fil du temps. En suivant ces indicateurs, les dirigeants et les parties prenantes doivent être en mesure de déterminer si la posture de cybersécurité de l’État global s’améliore ou s’affaiblit. Si les mesures que vous suivez montrent une amélioration, mais que les entités gouvernementales succombent à plus de cyberattaques que jamais auparavant, il est temps d’examiner vos données et de sélectionner des mesures plus significatives.
Une fois que vous aurez sélectionné les mesures et les objectifs, vous devrez établir des références, en particulier au début du projet. Demandez :
- Comment ces indicateurs fonctionnent-ils généralement dans les organisations participant au programme de l’ensemble de l’État ?
- Quelle est la référence que nous voulons établir comme rez-de-chaussée pour les améliorations ?
Cumulativement, toutes les équipes informatiques et de sécurité de l’État travaillent avec une grande quantité de données, qu’il s’agisse des adresses réseau, des inventaires d’appareils, des statuts de correctifs et des analyses AV, des cadres de sécurité, des listes de vulnérabilités ou des flux de renseignements sur les menaces. Pour suivre et valider les objectifs et les mesures, vous devez déterminer quelles données vous allez collecter et comment vous allez les collecter.
Une fois que vous aurez collecté ces données, vous devrez déterminer comment les signaler. Examinons maintenant les rapports.
Établir trois niveaux de reporting
Pour valider la mise en œuvre des outils et pratiques adoptés pour une politique de cybersécurité à l’échelle de l’État, du travail des techniciens informatiques dans les organisations de l’État jusqu’aux chefs d’équipe travaillant le plus probablement avec le bureau du gouverneur et la législature, vous avez besoin de trois niveaux de reporting :
- Rapports techniques
- Rapports de niveau exécutif
- Rapports au niveau de l’entreprise
Rapports techniques
Il s’agit du niveau de reporting le plus bas, fournissant des informations sur ce qui se passe sur les réseaux et les appareils. Les analystes du Centre des opérations de sécurité (SOC), les gestionnaires de réseau, les administrateurs système et d’autres spécialistes techniques s’appuient chaque jour sur ces rapports pour comprendre l’état de leurs réseaux et de leurs actifs informatiques et déterminer si quelque chose nécessite une attention rapide.
Les informations issues de ce niveau de reporting doivent être exploitables. Par exemple, il doit être en mesure de générer des rapports sur les inventaires des appareils, le statut des correctifs, le statut des menaces, etc. Si quelque chose doit être corrigé, il doit apparaître dans ce niveau de reporting. Et une fois qu’il est corrigé, ce changement de statut doit également apparaître ici.
Les rapports techniques doivent fournir des données utiles pour mesurer l’état de chaque objectif de sécurité majeur dans la stratégie globale. Si un objectif de sécurité ne peut pas être mesuré, de nouveaux outils et instruments sont nécessaires.
Rapports de niveau exécutif
Le niveau supérieur suivant est le reporting au niveau exécutif. Ce rapport présente une vue d’ensemble de la manière dont une entité gouvernementale particulière se comporte en matière de sécurité informatique. Ce niveau récapitule les détails du niveau de reporting technique. Il fournit des informations concises sur l’état général de la sécurité d’une manière que les leaders techniques et non techniques peuvent comprendre.
Lorsque j’ai travaillé avec l’État de l’Arizona sur leur stratégie de cybersécurité dans l’ensemble de l’État, nous avons trouvé utile de fournir des visuels verts/jaunes/rouges pour ce type de reporting. Un cadre devrait pouvoir jeter un coup d’œil à ce type de rapport et savoir immédiatement quels domaines sont sur la bonne voie (vert), qui sont potentiellement préoccupants en raison d’une sorte de manque (jaune) et qui doivent être traités immédiatement (rouge).
Les responsables informatiques et les cadres supérieurs peuvent utiliser ce niveau de reporting pour :
- Demandez à l’équipe informatique de résoudre les problèmes qui nécessitent plus d’attention.
- Assurez-vous que les ressources sont allouées de manière appropriée.
- Partagez leurs idées et expériences avec des pairs d’autres entités gouvernementales.
- Contribuez à ce reporting pour aider l’équipe de l’ensemble de l’État à générer le plus haut niveau de reporting : le reporting au niveau de l’entreprise.
Rapports au niveau de l’entreprise
Les rapports au niveau de l’entreprise regroupent et récapitulent les rapports au niveau exécutif de toutes les entités gouvernementales de l’État. Ce rapport permet au gouverneur, à la législature et à tous les membres de l’équipe dans l’ensemble de l’initiative de l’État de comprendre la cyber-préparation de l’État dans son ensemble. Il récapitule tous les rapports de niveau exécutif générés par les entités de l’État et les résume de manière utile.
Tout comme les rapports au niveau de la direction, les rapports au niveau de l’entreprise doivent utiliser des chiffres durs sans se perdre dans les détails. Il doit transmettre des informations importantes simplement et clairement pour s’assurer qu’elles sont compréhensibles par les dirigeants gouvernementaux qui sont responsables d’un grand nombre de problèmes gouvernementaux, et pas seulement de la cybersécurité.
Je recommande de poursuivre le schéma de signalisation des feux de circulation que j’ai décrit ci-dessus, en utilisant des graphiques verts/jaunes/rouges pour transmettre rapidement ce qui se passe bien et ce qui nécessite une attention, peut-être même une attention urgente.
Grâce à ce niveau de reporting, les dirigeants doivent être en mesure de comprendre la préparation aux risques de chaque entité gouvernementale. Ces rapports peuvent révéler des domaines de risque qui ont été précédemment négligés.
Ce rapport sert plusieurs fonctions importantes :
- Informations complètes
Il fournit aux dirigeants gouvernementaux une vue complète de la posture de cybersécurité de l’État (résilience globale de ses outils et pratiques de cybersécurité). Il est fort probable que ces dirigeants n’aient jamais eu de rapports aussi complets auparavant. - Des informations exploitables
Il permet aux dirigeants de voir quels efforts se déroulent bien et lesquels peuvent nécessiter une attention supplémentaire. Ces efforts pourraient être liés à certains types de menaces affectant toutes les organisations, ou ils pourraient être liés aux problèmes que rencontrent des organisations spécifiques. Par exemple, les rapports peuvent montrer que les écoles K-12 ont du mal à mettre en place des mesures de détection des menaces. L’équipe interorganisationnelle peut ensuite décider de la meilleure façon de résoudre ce problème. - Justification du financement
L’analyse comparative et la démonstration des progrès doivent aider les participants de l’ensemble de l’État à justifier le financement de l’État et potentiellement des ressources fédérales.
Mettre en œuvre des rapports continus, et non des audits ponctuels
Vous pouvez penser que le reporting et la validation sont comme un audit. Mais un audit représente le statut de votre posture de cybersécurité à un moment unique. Ce statut peut changer au cours de la minute suivante, lorsqu’un appareil infecté se connecte au réseau ou lorsqu’une nouvelle vulnérabilité de sécurité est annoncée, ou lorsqu’un nouveau type d’attaque zero-day est vu de manière sauvage.
Pour fournir une image vraiment précise de la posture de cybersécurité de toute entité gouvernementale, vous avez besoin d’une surveillance et d’une analyse continues et en temps réel. Ce type d’analyse n’est possible qu’avec l’automatisation. Les outils de sécurité informatique doivent être en mesure de collecter et de signaler les données en continu et automatiquement, au lieu de nécessiter une intervention manuelle chronophage de la part des techniciens informatiques.
Grâce à une surveillance et un reporting continus, les équipes à tous les niveaux peuvent voir les dernières données sans avoir besoin d’un groupe de travail spécial pour collecter des mesures hebdomadaires ou mensuelles. Les données peuvent être partagées hebdomadairement ou mensuellement, mais chaque fois qu’elles sont partagées, les données sont à jour, fournissant une image précise des forces et faiblesses actuelles en matière de cybersécurité.
Envisager la gamification
L’équipe de cybersécurité de l’ensemble de l’État peut envisager de gamifier les rapports, encourageant un esprit de concurrence amicale entre diverses entités gouvernementales alors qu’elles poursuivent leurs objectifs de cybersécurité. Les chefs d’équipe peuvent attribuer des badges ou d’autres jetons pour des réalisations, telles que la réalisation d’un certain ensemble d’objectifs ou la direction dans une catégorie telle que la couverture des correctifs.
Il a été démontré que la gamification améliore la motivation et l’engagement des employés dans la formation à la cybersécurité. Cela peut probablement aider les États à gérer leurs programmes de cybersécurité à l’échelle de l’État.
L’importance de la visibilité pour réduire les risques
La visibilité est essentielle dans la cybersécurité. Vous ne pouvez pas protéger quelque chose si vous ne le voyez pas. Vous ne pouvez pas résoudre un problème si vous ne savez pas qu’il est là.
À mesure que les capacités de reporting de l’ensemble de l’équipe de l’État s’établissent et que vous avez plus de visibilité sur votre posture et vos opérations de sécurité, plusieurs choses deviendront évidentes. Vous découvrirez quels produits fonctionnent efficacement et lesquels ne fonctionnent pas. Vous pouvez également découvrir certains produits redondants ou à peine utilisés.
Le reporting fournit la visibilité dont vous avez besoin pour affiner votre sélection d’outils et votre stratégie d’achat. En vous aidant à choisir les bons outils, le reporting contribue à rendre vos investissements en cybersécurité globalement plus efficaces.
En fin de compte, un programme de cybersécurité à l’échelle de l’État vise à réduire les risques. Les rapports vous permettent de voir les risques, de prendre des mesures correctives et de démontrer la valeur de ce travail à toutes les personnes qui y participent.
En savoir plus
Les menaces de cybersécurité continuent d’augmenter en fréquence et en sophistication. Heureusement, même les petites entités gouvernementales peuvent améliorer leur hygiène de sécurité en participant à une stratégie de cybersécurité à l’échelle de l’État. En mettant en œuvre ces stratégies larges et inclusives, les États peuvent s’assurer que chaque entité gouvernementale à l’intérieur de leurs frontières dispose des meilleures formations, outils et informations disponibles pour protéger leurs données et leur infrastructure et poursuivre leurs missions.
Pour savoir comment la plateforme Tanium Converged Endpoint Management peut aider votre organisation ou votre État à développer une stratégie de cybersécurité mature, veuillez nous contacter.
