Lorsque l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié ses nouveaux Playbooks de réponse aux incidents et aux vulnérabilités à la fin de l’année dernière, elle a envoyé un message urgent : lisez-les maintenant avant qu’une autre attaque SolarWinds ne se produise.
Les playbooks sont « destinés à améliorer et à normaliser les approches utilisées par les vulnérabilités et incidents [affrontés par les agences] », a déclaré Matt Hartman, directeur adjoint adjoint de la cybersécurité. Résultat direct du décret du président Biden visant à améliorer la cybersécurité, ils s’adressent aux agences civiles fédérales de la branche exécutive, y compris celles au niveau du Cabinet.
Mais ce ne sont pas seulement les aliments qui doivent être remarqués.
La CISA a exhorté toutes les entreprises privées à examiner ces documents, qui offrent des informations vitales pour améliorer les pratiques de cybersécurité du réseau. Au cours de l’année passée, des cybercriminels ont ciblé des agences fédérales et des entreprises privées qui travaillent avec elles, en utilisant des attaques de chaîne d ’approvisionnement logicielle (comme SolarWinds et Log4j) pour voler des données et, dans certains cas, arrêter les infrastructures et services critiques aux États-Unis.
Peu d’experts en dehors du gouvernement connaissent aussi bien les défis auxquels les agences fédérales et les entités du secteur privé sont confrontées que Quentin E. Hodgson. Chercheur international et de défense senior chez Rand Corporation, Hodgson se concentre sur les problèmes qui sont essentiels pour les DSI et les RSSI. Parmi eux : cybersécurité, protection des infrastructures critiques et gestion des risques.
Ayant également dirigé des projets pour le bureau du Secrétaire de la Défense, du Département de la sécurité intérieure, de la Marine, de l’Armée de l’air et de la Transformation du commandement allié de l’OTAN, il connaît bien le paysage. Endpoint s’est récemment entretenu avec Hodgson pour dévoiler l’importance et l’impact des nouveaux playbooks de la CISA.
(L’entretien suivant a été condensé et modifié pour plus de clarté.)
Pourquoi les derniers playbooks de réponse aux incidents de la CISA sont-ils importants ?
J’ai examiné la planification de la réponse aux incidents de manière générale et la manière dont le gouvernement peut essayer de mieux le faire, à la fois en interne, mais également en collaboration avec des partenaires du secteur privé. Les playbooks sont vraiment importants pour une utilisation organisationnelle interne. Mais lorsque vous pensez aux cyber-incidents qui peuvent avoir un impact sur plusieurs organisations et plusieurs secteurs d’infrastructure critiques, coordonner la réponse avec des entités publiques et privées est un ordre de grandeur plus complexe.
Y a-t-il des lacunes dans les playbooks CISA ?
Les playbooks sont axés sur la prise des doctrines et normes existantes et sur la tentative de les simplifier jusqu’à un guide. Cela s’adresse principalement aux agences fédérales de la branche exécutive civile, qui comprennent les départements de l’énergie, de l’éducation, de la sécurité intérieure et bien d’autres.
« Vous pouvez réagir de manière excessive et envoyer toutes vos ressources. Et puis quelque chose d’autre se produit et vous devez réexaminer les personnes. »
Bien sûr, les playbooks de la CISA incluent également une petite ligne qui indique que d’autres organisations peuvent également l’utiliser. Mais ce que cela fait dans ce manuel, c’est simplement dire : Si vous êtes une équipe des opérations de sécurité interne, par exemple, voici les étapes que vous devez suivre pour identifier les cyberincidents et y répondre.
Comment les playbooks CISA aideront-ils les agences fédérales à répondre aux types d’attaques massives de la chaîne d’approvisionnement logicielle que nous avons observées au cours des 18 derniers mois ?
Des attaques complexes comme celles-ci sont définies dans le décret présidentiel comme un « cyber-incident significatif ». Vous ne vous attendez pas à ce que ce type d’attaque reste contenu dans une seule organisation. Pensez à l’ attaque SolarWinds, qui a affecté de nombreuses organisations. Les attaquants ont utilisé SolarWinds, non seulement pour voler des données, mais également pour essayer d’accéder à une technologie plus opérationnelle et d’avoir un impact physique.
[En savoir plus : maîtriser les risques de la chaîne d’approvisionnement à la suite du Log4]
Avec ce type d’attaque, vous vous inquiétez de la manière dont elle pourrait se propager à d’autres organisations. Quels types d’effets physiques cela pourrait-il avoir ? Qui sera responsable de la coordination de la réponse ? Qui décide quand il est étiqueté comme un incident significatif ? Quel type de ressources allouez-vous pour y remédier ? C’est ce dont je parle lorsque je parle de complexité.
Les playbooks CISA vont-ils suffisamment loin, ou avons-nous besoin de quelque chose de plus radical ?
Nous sommes tous préoccupés par la croissance des cybermenaces, en particulier les menaces qui peuvent avoir des effets secondaires qui ne sont pas seulement confinés à une organisation ou à un secteur. Je pense à la panique qui s’est produite après l’ attaque par rançongiciel Colonial Pipeline et aux endroits où les gens étaient en train de s’aligner pour acheter du gaz. Et cela a entraîné d’autres problèmes. Je pense donc que nous sommes encore dans l’ère naissante d’essayer de comprendre comment nous coordonnerions la réponse à ces types de cyberincidents complexes.
« C’est compliqué. En fonction de l’incident et de la technologie qu’il affecte, l’arrivée du gouvernement peut ne pas être très utile. »
Par exemple, si vous êtes assis dans un centre d’opérations de sécurité pour une grande entreprise, que vous attendra-t-on du gouvernement fédéral si quelque chose devait se produire ? Que pouvez-vous attendre du gouvernement fédéral pour vous aider ? Nous ne le savons pas vraiment.
Comment les playbooks CISA aideront-ils les agences fédérales ?
Il y a une ligne dans les playbooks qui dit qu’une agence peut demander l’aide d’une équipe fédérale de recherche de menaces pour répondre aux incidents. Mais ensuite, il y a la mise en garde selon laquelle cela est basé sur la disponibilité et la hiérarchisation, donc CISA doit toujours prendre une décision sur la gravité de l’incident selon eux.
Vous pouvez voir où les organisations peuvent être en désaccord, en particulier aux premiers stades d’un incident. Vous pouvez réagir de manière excessive et envoyer toutes vos ressources, toutes vos équipes pour résoudre des problèmes qui peuvent ne pas être graves. Et puis quelque chose d’autre se produit et vous devez réexaminer les personnes. Ou vous pouvez demander à une organisation de dire : « Nous ne pensons pas que ce soit une affaire importante, et peut-être que le CISA, le FBI ou la Sécurité intérieure disent : « Nous pensons que c’est une affaire plus importante que vous ne la traitez comme ».
[En savoir plus : 3 pratiques de cyberhygiène que les RSSI fédéraux doivent adopter]
Et lorsqu’il s’agit d’agences du secteur privé, le CISA et le FBI ne peuvent pas s’imposer et dire : Eh bien, nous pensons que vous ne gérez pas cela assez rapidement. Nous allons venir vous aider.
C’est donc un équilibre difficile. Il y aura certainement
beaucoup d’opinions, de points de vue et d’intérêts différents. Pensez-
vous que le gouvernement devrait être plus impliqué et plus agressif ?
Oui, je le fais. Mais c’est compliqué. Nous n’avons pas d’industries gérées par l’État où le gouvernement pourrait exercer un contrôle. Bien sûr, il existe des secteurs réglementés où une intervention peut survenir. Mais le plus grand défi est que, en fonction de l’incident et de la technologie qu’il affecte, le gouvernement peut ne pas être très utile.
« Les entreprises vont hésiter à autoriser le gouvernement fédéral à trop entrer en contact pratique avec leurs systèmes. Ce n’est qu’une réalité. »
Ils n’ont pas pu vous aider, car ils peuvent ne pas savoir à quoi ressemblent les réseaux d’une organisation. Leur assistance serait plutôt un rôle consultatif.
Peut-être qu’ils pourraient effectuer des analyses judiciaires, etc. Mais la remédiation réelle est beaucoup plus susceptible d’être dans le mandat de cette entreprise, en particulier si elle dispose d’une équipe des opérations de sécurité. Cela deviendrait également plus complexe lorsqu’ils s’appuieront sur des équipes d’intervention tierces.
Les entreprises privées souhaitent-elles que le CISA et le gouvernement fédéral en fassent plus ?
Beaucoup d’entreprises vont être réticentes ou hésiter à autoriser le gouvernement fédéral à trop entrer en contact direct avec leurs réseaux et systèmes. Ce n’est qu’une réalité. Leur réponse peut être : Eh bien, nous connaissons nos systèmes beaucoup mieux que vous. La préoccupation serait que le gouvernement entre et fasse quelque chose qui aurait un impact négatif involontaire.
[En savoir plus : tendances en matière de cybersécurité à suivre en 2022]
Au-delà de cela, les dirigeants commerciaux et technologiques, en particulier ceux qui travaillent avec des agences fédérales, ne savent pas exactement ce que la CISA va faire pour eux. Quels types de capacités pouvez-vous demander si vous en avez besoin ? Quand devez-vous signaler les choses et comment ? Il y a un débat renouvelé au Congrès sur les exigences de signalement des incidents, la manière dont elles doivent être appliquées au secteur privé et les seuils de temps pour le signalement. Ce sont donc les types de problèmes qui entrent en jeu.
