La cybersécurité à l’échelle de l’ensemble de l’État est une approche qui met l’accent sur le partenariat entre différents niveaux du gouvernement, des établissements d’enseignement, des entités tribales et d’autres organisations dans les secteurs public et privé pour atténuer les menaces de cybersécurité. En éliminant les silos gouvernementaux, cette méthodologie permet aux entités de tout un État de partager des ressources et des informations de cybersécurité afin d’améliorer leur posture de sécurité collective.
Au cours des dernières années, les gouvernements étatiques et locaux ont été confrontés à un niveau sans précédent de cybercriminalité. Les attaques de rançongiciel contre les gouvernements étatiques et locaux ont augmenté de 485 % en 2020. Les gouvernements locaux subissent un prix brutalement élevé : le coût de correction d’une attaque par ransomware, y compris les coûts des ressources, les temps d’arrêt, les opportunités perdues et la rançon payée, s’élevait en moyenne à 1,64 millions USD en 2021.
Nombre de ces entités du secteur public ne disposent pas des ressources, des connaissances et des compétences internes nécessaires pour échapper à leurs attaquants.
La cybersécurité à l’échelle de l’État permet aux gouvernements étatiques et locaux et à leurs partenaires de regrouper leurs ressources et de collaborer pour renforcer leurs défenses contre les rançongiciels, les attaques de la chaîne d’approvisionnement et d’autres menaces de cybersécurité.
Pourquoi la cybersécurité à l’échelle de l’État est-elle nécessaire aujourd’hui ?
La défense de l’ensemble de l’État est aujourd’hui nécessaire en raison de l’augmentation des cyberattaques ciblant les gouvernements étatiques et locaux.
Généralement, chaque juridiction gère sa propre cybersécurité avec ses propres ressources, mais avec des niveaux de réussite variables. Les différences de budgets, de personnel, d’outils, etc. peuvent être des facteurs déterminants dans la réussite d’une partie à repousser une attaque. Étant donné que les différentes entités gouvernementales d’un État sont confrontées à un paysage croissant de menaces courantes, il est logique qu’elles mettent en commun des ressources, partagent des informations et travaillent ensemble pour renforcer leur défense numérique.
Quelles étapes permettent la cybersécurité à l’échelle de l’État ?
Il existe quatre étapes principales pour permettre la cybersécurité de l’ensemble de l’État. Elles impliquent :
- Relations. Personne ne peut survivre à l ’attaque actuelle de cybermenaces qui s’en occupent seul. Il est devenu essentiel d’adopter une approche collective de la cybersécurité qui attire toutes les parties prenantes et leur permet d’exploiter leurs ressources, connaissances et expertise combinées. Il est d’abord nécessaire d’instaurer la confiance entre les individus et les services. L’écoute est essentielle pour une bonne communication ; demandez aux autres ce dont ils ont besoin et comment vous pouvez les aider. À partir de leurs commentaires, vous pouvez commencer à identifier les points communs entre plusieurs relations.
- Gouvernance. À mesure que les relations que vous établissez deviennent matures, vous pouvez commencer à construire des structures plus formelles autour d’elles, par exemple en établissant un endroit où les parties prenantes peuvent se réunir pour discuter des problèmes et échanger des informations ou en développant un cadre pour prendre des décisions. Vous pouvez également commencer à créer des accords plus formels avec chaque partie, par exemple, en écrivant un protocole d’accord (MOU) qui établit un point de départ pour la collaboration en définissant la portée et l’objectif de la relation.
- Mise en œuvre. Ensuite, vous aurez besoin d’un plan et de fonds pour mettre en œuvre vos nouveaux outils, politiques ou autres mesures. Le financement fédéral et étatique joue un rôle essentiel pendant la mise en œuvre. S’il y a des fonds fédéraux ou des subventions à durée limitée disponibles, c’est le moment de les utiliser pour démarrer et accélérer votre plan, qui devra être soutenu à long terme par le financement de l’État. La phase de mise en œuvre est également l’endroit où vous devez commencer à travailler avec vos partenaires privés. Stratégiez avec tous vos fournisseurs pour trouver des moyens d’économiser de l’argent et d’élargir les budgets en les regroupant.
- Validation. La dernière étape consiste à valider que ce que vous mettez en place fonctionne efficacement. À mesure que vous gagnerez en visibilité sur les autres entités avec lesquelles vous avez établi un partenariat, vous serez en mesure d’identifier qui est en difficulté et où se trouvent les maillons faibles. Contactez et demandez comment l’ensemble du groupe peut vous aider. Cela peut signifier que quelqu’un dans la même zone géographique passe pour aider à élaborer une stratégie pour résoudre un problème ou que votre architecte informatique aide à résoudre un problème avec l’un de leurs systèmes. Il s’agit de la phase où les relations établies au début du processus global portent leurs fruits.
Quelles sont les meilleures pratiques de cybersécurité à l’échelle de l’État ?
Il est important de suivre quelques bonnes pratiques pour vous assurer que votre approche globale est réussie.
« Personne ne peut survivre à l’attaque actuelle de cybermenaces qui s’y prennent seul. »
La première consiste à planifier le financement à long terme. Bien que les décaissements de subventions fédérales puissent fournir une injection d’argent très nécessaire pour un projet en herbe, ils ne devraient pas être fiables pour soutenir le projet sur le long terme. Les subventions fédérales sont offertes sur une base limitée dans le temps, et une fois que le financement s’arrête, vos efforts dans l’ensemble de l’État pourraient s’arrêter avec. De plus, les parties prenantes seront moins susceptibles de participer à un plan de cybersécurité à l’échelle de l’État et de le soutenir avec leurs ressources, s’il semble qu’il n’ait pas le financement nécessaire pour être mis en œuvre efficacement. Il est donc essentiel d’établir un financement d’État à long terme dès le départ.
Le second est d’avoir une attitude collaborative dans vos relations avec d’autres entités. La meilleure façon de favoriser cette attitude est de demander plutôt que de dire aux autres parties ce dont elles ont besoin. Si vous écoutez leurs préoccupations et travaillez avec eux pour trouver des solutions réalisables, ils feront de même pour vous. C’est cette synergie plus que n’importe quel ensemble d’outils ou politique à partir duquel la cybersécurité de l’ensemble de l’État en tire son efficacité.
Comment la cybersécurité de l’ensemble de l’État est-elle financée ?
Les stratégies de l’ensemble de l’État peuvent être financées de différentes manières, mais elles sont généralement soutenues par des dépenses fédérales et étatiques. Les subventions fédérales sont un excellent moyen de lancer des initiatives à l’échelle de l’ensemble de l’État. Ils peuvent être utilisés pour lancer un projet et prouver différents outils et idées qui peuvent ensuite s’étendre à mesure que le projet progresse.
[Lire également : RSSI de l’État pour les repas : montrez-nous l’argent]
Il est essentiel que les États s’engagent également à financer les initiatives de cybersécurité de l’ensemble de l’État. Les États doivent commencer à considérer leurs systèmes informatiques comme une infrastructure critique tout aussi importante que leurs routes, leurs réseaux électriques et leurs approvisionnements en eau. Le secteur public se voit confier un trésor d’informations et de données qui font de ses entités une cible privilégiée pour les cybercriminels. L’État doit le reconnaître et fournir un financement durable pour s’assurer que ses systèmes informatiques sont sécurisés à perpétuité.
Comment la cybersécurité dans l’ensemble de l’État est-elle régie ?
Il n’existe pas de moyen unique de régir la sécurité de l’ensemble de l’État. Vous pouvez créer un comité formel, comme l’a fait le gouv. de Louisiane John Bel Edwards lorsqu’il a créé une commission de cybersécurité de 15 membres qui comprend des membres des agences d’application de la loi de l’État, des gouvernements locaux, des grandes industries et des universités publiques. Sinon, vous pouvez adopter une approche informelle de table ronde où tout le monde a un avis égal.
« Les États doivent commencer à considérer leurs systèmes informatiques comme une infrastructure critique tout aussi importante que leurs routes, leurs réseaux électriques et leurs approvisionnements en eau. »
Quelle que soit la structure de gouvernance adoptée par l’initiative de l’ensemble de l’État, l’objectif doit être de rassembler toutes les parties pour partager les informations et les meilleures pratiques, discuter des préoccupations et des problèmes, et prendre des décisions en collaboration.
Il est important de comprendre que dans une approche globale, une taille unique convient rarement à tous. Tous les outils et toutes les politiques ne fonctionneront pas pour chaque entité. Le groupe peut décider de mettre en œuvre une solution de surveillance particulière, par exemple, mais une entité peut être contractuellement tenue d’en utiliser une autre. Dans ce cas, le groupe peut convenir que l’entité périphérique continuera d’utiliser son outil de surveillance jusqu’à l’expiration de la durée du contrat, puis passera à l’outil utilisé par le reste du groupe. Le modèle de gouvernance choisi par les participants de l’ensemble de l’État déterminera comment traiter les conflits comme ceux-ci et la manière de élaborer des stratégies pour le bien du groupe.
Comment mesurez-vous la réussite de l’ensemble de l’État ?
La réussite dans l’ensemble de l’état peut être mesurée de plusieurs manières. Si votre groupe a établi un cadre et s’est mis d’accord sur des principes clés, cela est en soi un indicateur de réussite car cela signifie que les parties se sont écartées de leurs silos et communiquent les unes avec les autres et travaillent bien ensemble.
Une fois que le groupe a mis en œuvre ses politiques et outils convenus, le succès peut être mesuré davantage par le nombre de parties les utilisant. Cela peut révéler dans quelle mesure le groupe est cohérent avec son plan. Vous pouvez également mesurer l’efficacité de votre initiative globale à l’aide de mesures système traditionnelles telles que la disponibilité, le temps moyen de résolution (MTTR) et le nombre d’incidents de sécurité. Il s’agit d’indicateurs importants qui peuvent signaler la réussite lorsqu’ils évoluent dans la bonne direction.
Bien qu’il s’agisse de tous les indicateurs importants, le baromètre le plus précis de la réussite de l’ensemble de l’État est peut-être le nombre de personnes ou d’entités participant à l’initiative. Plus le groupe est grand, plus le réseau que vous construisez est puissant, car tout le monde se défend désormais sur la même longueur d’onde. Même si chaque membre du groupe n’adopte pas activement chaque politique et outil, il participe au moins aux discussions et partage des commentaires qui aident à renforcer l’effort du groupe.
Les relations sont la base sur laquelle l’ensemble de l’état est fondé, et la force et l’efficacité de ces relations sont une indication fiable de la force et de l’efficacité de votre initiative dans son ensemble.
Comment le partage d’informations affecte-t-il un plan global ?
La collecte et la diffusion d’informations sont essentielles pour lutter contre la cybercriminalité. En partageant des informations, toutes les parties prenantes peuvent améliorer leur posture de cybersécurité et, par extension, la posture de sécurité collective du groupe.
Les informations sur les menaces, des données agrégées et analysées qui aident à comprendre les motivations, les cibles et les comportements d’attaque d’un acteur malveillant, sont particulièrement importantes car elles aident les organisations à prendre de meilleures décisions en matière de cybersécurité et à passer d’une posture réactive à une posture de sécurité proactive. Certaines données de renseignement sur les menaces, telles que les adresses IP malveillantes et les noms de domaine, sont faciles à automatiser et peuvent être trouvées via des flux de données gratuits et open source. D’autres types de renseignements sur les menaces, tels que la motivation ou le comportement d’un acteur malveillant, nécessitent des ressources humaines et une analyse.
L’un des moyens les plus simples pour les initiatives de l’ensemble de l’État de recevoir et d’agir sur les informations sur les menaces est de tirer parti du Centre d’analyse et de partage des informations multi-États (MS-ISAC). Il s’agit d’un centre d’opérations de sécurité (SOC) 24 h/24 qui fournit des informations, une détection et une assistance en matière de réponse aux gouvernements étatiques et locaux.
Certains des avantages offerts par MS-ISAC comprennent les services de réponse aux incidents et d’analyse légale numérique, un rapport hebdomadaire sur les domaines et IP les plus malveillants, l’accès à sa plateforme d’analyse des codes malveillants (MCAP) et l’accès au service MDBR (Malicious Domain Blocking and Reporting), qui bloque les ransomwares. L’adhésion est gratuite et ouverte aux employés ou représentants de toutes les entités étatiques, locales, tribales et territoriales (SLTT).
Comment les centres de cybercommande améliorent-ils les opérations de l’ensemble de l’État ?
Un centre de cybercommande formalise les principes et fonctions de l’ensemble de l’État dans un hub centralisé. Doug Ducey, gouvernement de l’Arizona, a récemment lancé le centre de cybercommande de son État, qui fonctionnera comme siège social pour coordonner les opérations de cybersécurité de l’Arizona. Il fournit un emplacement centralisé à partir duquel les professionnels de la cybersécurité et les agences locales, étatiques et fédérales peuvent partager des informations et prévenir et répondre aux cyberattaques.
« Tout l’état commence par contacter d’autres parties, favoriser la communication et identifier les défis courants. »
Bien que le centre de cybercommande de l’Arizona soit unique, chaque État et territoire américain dispose d’au moins un centre de fusion. Ces entités sont détenues et exploitées par l’État et localement, et servent de hubs pour communiquer des informations liées aux menaces au gouvernement fédéral, aux entités SLTT et aux partenaires du secteur privé. Un centre de fusion peut desservir une grande zone urbaine ou un État entier, et chacun est une ressource vitale sur laquelle les gouvernements et leurs partenaires peuvent s’appuyer pour soutenir leurs initiatives dans l’ensemble de l’État.
Comment un modèle complet façonne-t-il la réponse aux incidents ?
La réponse aux incidents dans un modèle à l’échelle de l’État s’appuie sur des services et organisations externes, si nécessaire. Lorsque le ministère des Transports du Colorado a été touché par une attaque par rançongiciel, par exemple, les responsables informatiques de l’État ont fait appel à la Garde nationale et à son bureau de gestion des urgences et ont tiré parti de leur cyberexpertise et de leurs compétences en réponse aux crises, respectivement. Cela a permis aux parties d’aborder le problème avec un plan de bataille organisé plutôt que d’improviser une réponse.
Quels sont les avantages d’une stratégie à l’échelle de l’État pour l’État et les participants ?
Le principal avantage d’une stratégie à l’échelle de l’État est une visibilité accrue. Plusieurs secteurs du gouvernement sont souvent confrontés à des menaces courantes, mais ne communiquent pas suffisamment pour que l’un d’entre eux puisse les combattre efficacement. Une fois qu’ils commencent à partager des informations, ils disposent de plus de données sur lesquelles agir, ce qui contribue à sécuriser plus d’actifs, à prendre de meilleures décisions et à réagir plus rapidement aux menaces.
Un autre avantage est l’accès à plus de ressources. En regroupant le financement, les parties peuvent acquérir une meilleure classe d’outils, employer des rôles à temps plein plutôt qu’à temps partiel et apporter d’autres améliorations à la cybersécurité sans coût supplémentaire.
Comment une approche globale répond-elle aux défis actuels de la main-d’œuvre informatique et de cybersécurité ?
L’ensemble de l’État permet aux municipalités de surmonter les défis de la main-d’œuvre grâce à leurs partenariats avec les universités communautaires. Le Texas, par exemple, a récemment créé un centre régional d’opérations de sécurité (RSOC). Les étudiants de ces programmes bénéficient d’une expérience informatique réelle en surveillant des systèmes complexes à l’aide d’outils de pointe et prennent une longueur d’avance lorsqu’ils entrent dans la main-d’œuvre après l’obtention de leur diplôme.
L’organisation obtient une couverture 07/12 qu’elle ne pourrait pas se permettre autrement et la confiance de savoir qu’elle a formé les gens à surveiller activement leurs systèmes. C’est un autre exemple de la manière dont l’ensemble de l’État profite à toutes les parties impliquées.
Comment les États peuvent-ils développer leurs propres objectifs globaux ?
Les États peuvent développer leur propre stratégie globale en prenant les mesures suivantes :
- Commencez à en parler. Tout l’état commence par contacter d’autres parties, favoriser la communication et identifier les défis courants. Cela pose les bases de la gouvernance.
- Débarrassez-vous des défis. Mettez en œuvre votre stratégie et vérifiez qu’elle fonctionne. Relevez un défi à la fois et tirez parti de chaque réussite pour accroître la confiance et la motivation.
- Soyez patient. Aucune stratégie de cybersécurité n’est facile, et tenter d’en développer une avec ce niveau de coordination peut être particulièrement difficile. Soyez patient et comprenez qu’il y aura quelques trébuchements en cours de route. Les revers ne signifient pas que la stratégie ne sera pas efficace à long terme. Continuez simplement à avancer vers votre objectif et les réussites viendront.
- Continuez à établir des relations. Chaque fois que vous rencontrez un défi, vous ne savez pas comment le résoudre, cela signifie qu’il y a une personne à laquelle vous n’avez pas encore parlé. Continuez à établir de nouvelles relations pour assurer un succès continu. Les partenaires du secteur privé sont particulièrement précieux pour cela, car ils disposent de plus de ressources et peuvent vous aider à trouver quelqu’un qui peut apporter une nouvelle perspective à votre problème.
À quoi ressemblent les stratégies réussies de l’ensemble de l’État ?
Plusieurs États adoptent une approche collective de la cybersécurité. Voici quelques-uns des exemples les plus réussis :
- Arizona. Comme mentionné, l’Arizona a créé un centre de cybercommande à l’échelle de l’État, un projet qui a duré quatre ans. Dans une démarche qui montre encore plus son engagement envers une stratégie de cybersécurité à l’échelle de l’ensemble de l’État, elle a transféré son RSSI au Département de la sécurité intérieure de l’Arizona, où il est directeur de l’agence et relève directement du gouverneur.
- New York. Le New York City Cyber Command a inclus des citoyens ordinaires dans sa stratégie à l’échelle de l’ensemble de l’État. Elle a déployé l’application sécurisée NYC, qui offre une protection gratuite en temps réel sur les téléphones portables des utilisateurs. Elle s’est également associée à Quad9, une plateforme de cybersécurité gratuite qui remplace la configuration par défaut du fournisseur d’accès Internet ou du serveur de nom de domaine d’entreprise pour sécuriser 3 000 points d’accès Wi-Fi publics dans toute la ville. Et elle s’est associée au bureau des services aux petites entreprises de la ville pour fournir des informations de cyberhygiène de base à la communauté des entreprises.
- Virginie. Dans le comté de York, le service informatique travaille avec le Département des élections pour partager des conseils de base en matière de cybersécurité avec toutes les juridictions. Le directeur adjoint des technologies de l’information s’est engagé directement auprès des petites entreprises et via un centre de développement régional pour les petites entreprises afin de fournir des informations sur les bases de la cybersécurité. Il fournit aux citoyens des informations similaires, telles que la manière de sécuriser les informations personnelles en ligne.
Quelles sont les leçons apprises par ceux qui ont adopté la cybersécurité dans l’ensemble de l’État ?
La principale leçon est que dans une approche à l’échelle de l’État, vous devez laisser les gens contrôler leur destin. Il est tentant de dire aux gens ce qu’ils doivent faire pour résoudre un problème particulier ou les pousser à utiliser un outil spécifique parce qu’il est le meilleur de sa catégorie. Mais cela n’entraînera qu’une mauvaise adoption des outils et une mauvaise conformité aux politiques. Demander aux gens ce dont ils ont besoin et écouter leurs commentaires sont essentiels pour favoriser un environnement collaboratif et déterminer le succès ultime de votre stratégie globale.
