Depuis George W. Bush, chaque président a mis à jour la stratégie nationale de cybersécurité. Cela fait partie du métier, et cela ne change généralement pas beaucoup.
Mais le plan de l’administration Biden, intitulé « » (Un plan pour la sécurité nationale et la défense des États-Unis) et dévoilé en mars dans le but de publier un plan de mise en œuvre complémentaire d’ici le début de l’été, sort des sentiers battus grâce à son approche proactive, axée sur la « défense offensive ».
Contrairement aux approches précédentes, qui revêtaient un caractère davantage réactif, le dernier plan de la Maison Blanche s'attaque aux violations de données très médiatisées et aux attaques par rançongiciel de type « » lancées par des États-nations hostiles grâce à une combinaison de mesures offensives et défensives. Ce document est destiné à servir de cadre général aux actions fédérales en matière de cybersécurité et fournirait également des lignes directrices rigoureuses à l'intention des entreprises privées.
Plus précisément, cette stratégie repose sur cinq piliers :
- Défendez les infrastructures critiques.
- Contrer et démanteler les acteurs malveillants d' .
- Façonner les forces du marché de l' s pour renforcer la sécurité et la résilience.
- , investissez dans un avenir résilient.
- Établir des partenari s à l'échelle internationale afin de poursuivre des objectifs communs.
Même si ces mots peuvent paraître banals, les concepts qu'ils recouvrent sont loin de l'être.
Il convient notamment de noter que l'idée selon laquelle les pouvoirs publics s'efforcent de perturber et de démanteler les acteurs malveillants s'appuie sur plusieurs années de débats — controversés et qui ont changé la donne — menés par le Cyber Command américain du ministère de la Défense. À cette occasion, les experts ont débattu d’une nouvelle stratégie visant à prendre l’initiative face aux pirates informatiques et à les traquer partout dans le monde grâce à des « actions de lutte contre la cybercriminalité () », à un « engagement continu () » et à des activités de partenariat. Le ministère américain de la Défense définit l’engagement persistant comme une « défense proactive » visant à perturber les activités cybermalveillantes à leur source, y compris celles qui ne relèvent pas du conflit armé. Ainsi, si un appareil, un réseau, une organisation ou un État adversaire est identifié comme une menace pour les réseaux et les institutions américains, ou s’il les attaque activement dans le cyberespace ou par ce biais, « il peut s’attendre à ce que les États-Unis lui imposent des sanctions en représailles », indique une fiche d’information du Cyber Command américain intitulée « » (Réponse aux menaces de cyberattaques).
Outre ces perturbations et ce démantèlement, la stratégie de la Maison Blanche vise également à changer la donne en matière de cybersécurité en suggérant ouvertement que le secteur technologique doit redoubler d'efforts pour renforcer la sécurité de ses produits et services. Au-delà de ces axes, ce plan se distingue également par le fait qu’il comporte une section entière consacrée aux modalités de sa mise en œuvre.
« [Le nouveau plan de cybersécurité de Biden] est bien plus détaillé, contient des propositions politiques plus avancées et est sur le point de devenir applicable. »Glenn Gerstell, ancien directeur juridique de l'Agence nationale de sécurité
Certains éléments de cette stratégie — notamment ceux qui laissent entendre que le secteur privé pourrait se voir imposer des réglementations plus strictes s’il ne se met pas au diapason de la cybersécurité — nécessiteraient l’adoption d’une loi fédérale pour avoir un réel impact. Cela pourrait s'avérer difficile en cette période de divisions politiques. Mais dans l'ensemble, de nombreux observateurs du secteur estiment que des événements tels que les piratages de l' , du Colonial Pipeline et de , ainsi que celui de SolarWinds , ont tiré la sonnette d'alarme quant à la montée des cybermenaces, de sorte que les deux camps politiques sont désormais motivés à agir. À ce titre, ce tout dernier plan de sécurité nationale pourrait déboucher sur des changements concrets, dans une certaine mesure.
« Ce document est bien plus détaillé, contient des propositions politiques plus ambitieuses et est sur le point de devenir applicable », déclare Glenn Gerstell, ancien directeur juridique de l’Agence nationale de sécurité (NSA). « Les gouvernements précédents ont élaboré des stratégies qui n'étaient pas destinées à être mises en œuvre. » « Celui-là, oui. »
L'essor de l'engagement durable
D'une certaine manière, la mise en œuvre avait déjà commencé bien avant que la Maison Blanche ne publie son plan. Par exemple, trois mois avant que les chars russes n'envahissent l'Ukraine en février dernier, les forces américaines ont mené des opérations cybernétiques aux côtés du personnel du Cyber Command ukrainien, dans le cadre de l'une des premières opérations de « chasse proactive » jamais recensées.
Depuis lors, ces partenariats axés sur un engagement durable ont été mis en place au moins 44 fois dans 22 pays, notamment en Estonie, en Lituanie, en Croatie, au Monténégro et en Macédoine du Nord.
Peu d'informations ont été fournies quant aux résultats de ces campagnes, ni sur la question de savoir si elles sont allées au-delà de simples missions d'enquête et ont cherché à perturber ou à démanteler des groupes ou des réseaux de pirates informatiques spécifiques. Cependant, une déclaration préparée à l'avance du général de division William Hartman, après que des cyber-spécialistes américains ont passé trois mois en Albanie pour faire face à des cyberattaques présumées d'origine iranienne contre des systèmes gouvernementaux, laisse entendre que c'est bien le cas.
« Lorsque nous sommes invités à mener des opérations de détection sur les réseaux d’un pays partenaire, nous sommes en mesure de repérer les activités insidieuses d’un adversaire dans le cyberespace et d’en faire part à notre partenaire afin qu’il puisse prendre les mesures qui s’imposent », a déclaré Hartman . « Nous pouvons ainsi faire payer un prix à nos adversaires en dévoilant leurs outils, leurs tactiques et leurs procédures, et renforcer la cybersécurité de nos partenaires et alliés. »
Ces partenariats ne constituent pas seulement un atout pour les gouvernements. Le secteur privé peut également en tirer profit. Dans le cadre de l'opération menée en Albanie, l'équipe « Hunt Forward » aurait, selon certaines informations , partagé les informations qu'elle avait découvertes tant avec le gouvernement albanais qu'avec des entreprises privées jouant un rôle essentiel dans l'infrastructure numérique de l'Albanie et des États-Unis.
Transférer la responsabilité au secteur des technologies
Outre le fait de se montrer plus proactive, la stratégie de cybersécurité de la Maison Blanche vise également à définir des normes minimales que les entreprises technologiques devraient respecter lors du développement et de la commercialisation de leurs produits.
«Une approche volontaire de la sécurisation [des infrastructures et réseaux critiques] est insuffisante. »Anne Neuberger, conseillère adjointe à la sécurité nationale chargée de la cybersécurité et des technologies émergentes
Il est certain que certains fournisseurs de matériel et de logiciels de haute technologie ont accordé une certaine attention à la cybersécurité lors du développement de leurs produits. Mais le plan de l'administration Biden prévoit une action plus ambitieuse, à l'échelle de l'ensemble du secteur, que ce qui a été fait jusqu'à présent — car les approches traditionnelles ne se sont pas avérées efficaces.
« Le principe fondamental de la stratégie, tel qu’il est reconnu par l’ , est qu’une approche volontaire pour assurer la sécurité [des infrastructures et réseaux critiques] est insuffisante », a déclaré Anne Neuberger, conseillère adjointe à la sécurité nationale chargée de la cybersécurité et des technologies émergentes, lors d’un événement organisé par le Center for Strategic & International Studies.
Sans le dire ouvertement, cette stratégie semble laisser entrevoir l’imposition de réglementations strictes en matière de cybersé afin de renforcer la sécurité des environnements numériques du pays — une mesure que les administrations précédentes avaient hésité à prendre, selon M. Gerstell. Mais, selon lui, le contexte des menaces s'est tellement aggravé que prononcer le mot commençant par « R » n'est plus le sujet politiquement sensible qu'il était autrefois.
« Il y a trois ou quatre ans, toutes ces entreprises qui ont été victimes d’attaques de rançongiciels de grande envergure ou d’autres cyberattaques auraient pu prendre davantage de mesures en matière de cybersécurité, mais elles ne l’ont pas fait pour diverses raisons, notamment parce que cela peut représenter un coût prohibitif », explique M. Gerstell. « Ainsi, pour la première fois, le pouvoir exécutif fédéral affirme, dans le cadre d’une politique officielle : “Nous devons modifier le régime de responsabilité, nous devons changer le système économique et nous avons besoin de davantage de réglementation.” »
Pourquoi un partenariat entre M. Biden et le monde des affaires peut fonctionner
Matt Hayden, vice-président de General Dynamics Information Technology et ancien conseiller principal du directeur de l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), souligne que la stratégie de la Maison Blanche ne précise pas clairement les normes minimales en matière de préparation des produits à la cybersécurité. Il affirme au contraire que cette politique laisse entendre que les pouvoirs publics et les entreprises devront collaborer afin de déterminer les mesures à prendre pour éviter l'imposition de réglementations ou d'une responsabilité juridique.
«Pour que cela aboutisse, il faudra que les décideurs, tant au Capitole que dans le secteur privé…, parviennent à un compromis. »Matt Hayden, vice-président de General Dynamics Information Technology
« Il n'existe aucun modèle de partenariat permettant cela », déclare Hayden. « Pour que cela aboutisse, il faudra que les décideurs, tant au Capitole que dans le secteur privé, collaborent avec les instances réglementaires de l’ensemble du gouvernement afin de trouver un terrain d’entente permettant de faire adopter certaines mesures. »
Hayden ajoute que les dirigeants d'entreprise et les responsables informatiques peuvent s'appuyer sur la politique de la Maison Blanche pour insister sur la nécessité de placer la cybersécurité au cœur de toutes les activités d' , de développement de produits et de marketing.
« Cette stratégie peut constituer un véritable coup de pouce pour inciter davantage de personnes à se joindre à ce combat », déclare-t-il.
M. Gerstell partage cet avis et estime que les entreprises devraient cesser de se plaindre de manière stéréotypée d'une éventuelle réglementation et s'attacher plutôt à lutter contre les cybermenaces.
« Ne vous contentez pas de publier un communiqué de presse pour dire que vous êtes déçu par les appels à davantage de réglementation et que le secteur privé est parfaitement capable de gérer cela tout seul », déclare-t-il. « Collaborez avec les pouvoirs publics et commencez à contribuer à l'élaboration de la réglementation. » « Vous constaterez que la CISA est tout ouïe et qu'elle attend vos suggestions. »
Le moment est venu
La mise en œuvre de la stratégie nationale de cybersécurité pourrait facilement rencontrer des obstacles et s'enliser. Conscient de cette éventualité, le Conseil de sécurité nationale (NSC) a été chargé de la mise en œuvre, en collaboration avec le Bureau de la gestion et du budget (OMB) et le Bureau du directeur national de la cybersécurité (ONCD). Ces agences seraient également chargées d'orienter les investissements ciblés des secteurs public et privé « afin de suivre le rythme des changements inhérents à l'écosystème cybernétique », conclut la stratégie.
Selon M. Gerstell, ce type de démarche auprès des législateurs pourrait susciter des réactions étonnamment positives.
« Il s'agit d'une stratégie bien pensée et pertinente, qui intervient exactement au bon moment, car le public est réceptif », déclare-t-il. « Il y a dix ans, tout le monde aurait jeté un œil à ce document, haussé les épaules et dit : “Ça n’a pas l’air normal.” » « Nous n'en avons pas besoin. » Mais le paysage cybernétique a évolué. « Tout est une question de timing, n'est-ce pas ? »
