La cybersécurité à l'échelle de l'État est une approche qui met l'accent sur le partenariat entre les différents niveaux de pouvoir, les établissements d'enseignement, les entités tribales et d'autres organisations des secteurs public et privé, afin d'atténuer les menaces liées à la cybersécurité. En supprimant les cloisonnements administratifs, cette méthodologie permet aux entités de l'ensemble d'un État de partager leurs ressources et leurs informations en matière de cybersécurité afin d'améliorer leur niveau de sécurité collectif.
Au cours des dernières années, les collectivités publiques régionales et locales ont été confrontées à un niveau de cybercriminalité sans précédent. Les attaques par ransomware visant les collectivités territoriales et les administrations locales ont augmenté de 485 % en 2020. Les collectivités locales en paient le prix fort : le coût de la remédiation d'une attaque par ransomware, incluant les coûts liés aux ressources, aux temps d'arrêt, aux opportunités perdues et à la rançon versée, s'élevait en moyenne à 1,64 millions de dollars en 2021.
Bon nombre de ces entités du secteur public ne disposent pas des ressources internes, des connaissances et des compétences nécessaires pour repousser leurs attaquants.
La cybersécurité à l'échelle de l'État permet aux collectivités publiques régionales et locales ainsi qu'à leurs partenaires de mettre en commun leurs ressources et de collaborer afin de renforcer leurs défenses contre les ransomwares, les attaques de type « » visant la chaîne d'approvisionnement et d'autres menaces de cybersécurité.
Pourquoi une approche globale de la cybersécurité à l'échelle de l'État est-elle nécessaire aujourd'hui ?
Une défense à l'échelle de l'État est aujourd'hui nécessaire en raison de la recrudescence des cyberattaques visant les administrations de l'État de , ainsi que les collectivités locales.
En règle générale, chaque juridiction gère sa propre cybersécurité avec ses propres ressources, mais avec des résultats plus ou moins satisfaisants. Les différences en matière de budget, d'effectifs, d'outils, etc. peuvent être des facteurs déterminants dans la capacité d'une partie à repousser une attaque. Étant donné que les différentes entités gouvernementales d’un État sont confrontées à un éventail croissant de menaces communes, il est logique qu’elles mettent leurs ressources en commun, échangent des informations et collaborent afin de renforcer leur défense numérique.
Quelles mesures permettent d'assurer la cybersécurité à l'échelle de l'État ?
La mise en place d'une cybersécurité à l'échelle de l'État comporte quatre étapes principales. Il s'agit notamment :
- Les relations. Personne ne peut résister seul à l' e vague actuelle de cybermenaces . Il est désormais indispensable d'adopter une approche collective en matière de cybersécurité, qui associe l'ensemble des parties prenantes et leur permette de tirer parti de leurs ressources, de leurs connaissances et de leur expertise combinées. Il faut tout d'abord instaurer un climat de confiance entre les personnes et les services. L'écoute est essentielle à toute bonne communication ; demandez aux autres ce dont ils ont besoin et comment vous pouvez les aider. À partir de leurs retours, vous pouvez commencer à identifier les points communs entre plusieurs relations.
- Gouvernance. À mesure que les relations que vous nouez s'affirment, vous pouvez commencer à mettre en place des structures plus formelles autour d'elles, par exemple en créant un lieu où les parties prenantes peuvent se réunir pour discuter des enjeux et échanger des informations, ou en élaborant un cadre de prise de décision. Vous pouvez également commencer à établir des accords plus formels avec chaque partie — par exemple, en rédigeant un protocole d'accord (MOU) qui jette les bases de la collaboration en définissant la portée et l'objectif de cette relation.
- Mise en œuvre. Ensuite, vous aurez besoin d'un plan et de moyens financiers pour mettre en œuvre vos nouveaux outils, vos nouvelles politiques ou toute autre mesure. Les financements fédéraux et régionaux jouent un rôle essentiel lors de la mise en œuvre. Si des fonds fédéraux ou des subventions à durée limitée sont disponibles, c'est le moment de les utiliser pour lancer et accélérer votre projet, qui devra ensuite être soutenu à long terme par des financements régionaux. C'est également au cours de la phase de mise en œuvre que vous devriez commencer à collaborer avec vos partenaires privés. Élaborez des stratégies avec l'ensemble de vos fournisseurs afin de trouver des moyens de réaliser des économies et d'optimiser vos budgets en les regroupant.
- Validation. La dernière étape consiste à vérifier que ce que vous avez mis en place fonctionne efficacement. À mesure que vous acquerrez une meilleure visibilité sur les autres entités avec lesquelles vous avez conclu un partenariat, vous serez en mesure d’identifier celles qui rencontrent des difficultés et de repérer les maillons faibles. Prenez contact avec eux et demandez-leur comment le groupe dans son ensemble peut les aider. Cela peut signifier qu'une personne se trouvant dans la même zone géographique passe vous voir pour vous aider à élaborer une stratégie visant à résoudre un problème, ou que votre architecte informatique vous aide à résoudre un problème lié à l'un de ses systèmes. C'est à ce stade que les relations nouées au début du processus impliquant l'ensemble des pouvoirs publics portent leurs fruits.
Quelles sont les meilleures pratiques en matière de cybersécurité à l'échelle de l'État ?
Il est important de respecter quelques bonnes pratiques afin de garantir le succès de votre approche à l'échelle de l'État.
«Personne ne peut survivre seul à l'assaut actuel des cybermenaces. »
La première consiste à prévoir un financement à long terme. Si les subventions fédérales peuvent apporter une injection de liquidités indispensable à un projet naissant, il ne faut pas compter sur elles pour assurer la pérennité du projet à long terme. Les subventions fédérales sont accordées pour une durée limitée, et dès que ce financement prendra fin, vos efforts à l'échelle de l'État pourraient s'arrêter en conséquence. De plus, les parties prenantes seront moins enclines à participer à un plan de cybersécurité à l'échelle de l'État et à le soutenir avec leurs ressources s'il semble ne pas disposer des moyens financiers nécessaires à sa mise en œuvre efficace. Il est donc essentiel de mettre en place dès le départ un financement public à long terme.
La deuxième consiste à adopter une attitude de collaboration dans vos relations avec les autres entités. La meilleure façon de favoriser cette attitude consiste à demander aux autres ce dont ils ont besoin, plutôt que de le leur imposer. Si vous êtes à l'écoute de leurs préoccupations et que vous collaborez avec eux pour trouver des solutions viables, ils feront de même pour vous. C'est de cette synergie, bien plus que de n'importe quel ensemble d'outils ou de mesures, que la cybersécurité à l'échelle de l'État tire son efficacité.
Comment la cybersécurité à l'échelle de l'État est-elle financée ?
Les stratégies à l'échelle de l'État peuvent être financées de différentes manières, mais elles sont généralement soutenues par des dépenses fédérales et régionales. Les subventions fédérales constituent un excellent moyen de donner un coup de pouce aux initiatives à l'échelle de l'État. Ils peuvent servir à lancer un projet et à tester différents outils et idées, qui pourront ensuite être développés au fur et à mesure de l'avancement du projet.
[Lire aussi : Les RSSI des États s'adressent aux autorités fédérales : « Montrez-nous l'argent »]
Il est essentiel que les États allouent également des fonds pour assurer la pérennité des initiatives de cybersécurité à l'échelle de l'État. Les États doivent commencer à considérer leurs systèmes informatiques comme une infrastructure critique , tout aussi importante que leurs réseaux routiers, leurs réseaux électriques et leurs réseaux d'approvisionnement en eau. Le secteur public détient une mine d'informations et de données qui font de ses entités une cible de choix pour les cybercriminels. L'État doit en prendre conscience et mettre en place un financement durable afin de garantir la sécurité de ses systèmes informatiques à long terme.
Comment la cybersécurité est-elle gérée à l'échelle de l'État ?
Il n'existe pas de méthode unique pour assurer la sécurité à l'échelle de l'État. Vous pouvez mettre en place un comité officiel, comme l’a fait le gouverneur de Louisiane, John Bel Edwards, lorsqu’il a créé une commission de cybersécurité de 15 membres , composée de représentants des forces de l’ordre de l’État, des collectivités locales, des principaux secteurs d’activité et des universités publiques. Vous pouvez également opter pour une table ronde informelle où chacun a le même droit de parole.
«Les États doivent commencer à considérer leurs systèmes informatiques comme des infrastructures essentielles, tout aussi importantes que leurs réseaux routiers, leurs réseaux électriques et leurs réseaux d'approvisionnement en eau. »
Quelle que soit la structure de gouvernance adoptée par cette initiative à l'échelle de l'État, l'objectif devrait être de rassembler toutes les parties prenantes afin de partager des informations et des bonnes pratiques, de discuter des préoccupations et des enjeux, et de prendre des décisions de manière collaborative.
Il est important de comprendre que, dans le cadre d'une approche à l'échelle de l'État, il n'existe pratiquement jamais de solution unique valable pour tous. Tous les outils et toutes les politiques ne conviendront pas à toutes les entités. Le groupe peut décider de mettre en œuvre une solution de suivi particulière, par exemple, mais une entité peut être contractuellement tenue d'en utiliser une autre. Dans ce cas, le groupe peut convenir que l'entité périphérique continuera à utiliser son outil de suivi jusqu'à l'expiration du contrat, puis passera à l'outil utilisé par le reste du groupe. Le modèle de gouvernance choisi par l'ensemble des acteurs de l'État déterminera la manière de gérer ce type de conflits et d'élaborer des stratégies dans l'intérêt du groupe.
Comment mesure-t-on la réussite à l'échelle de l'État ?
La réussite à l'échelle de l'État peut être mesurée de plusieurs façons. Si votre groupe a mis en place un cadre de référence et s'est mis d'accord sur des principes clés, cela constitue en soi un indicateur de réussite, car cela signifie que les parties ont dépassé leurs cloisonnements, communiquent entre elles et collaborent efficacement.
Une fois que le groupe aura mis en œuvre les politiques et les outils convenus, le succès pourra être évalué davantage en fonction du nombre d'acteurs qui les utilisent. Cela peut permettre de déterminer dans quelle mesure le groupe fait preuve de cohésion autour de son projet. Vous pouvez également évaluer l'efficacité de votre initiative à l'échelle de l'État à l'aide d'indicateurs système classiques tels que la disponibilité, le temps moyen de résolution (MTTR) et le nombre d'incidents de sécurité. Il s'agit d'indicateurs importants qui peuvent être le signe d'une réussite lorsqu'ils évoluent dans la bonne direction.
Bien que ces indicateurs soient tous importants, le baromètre le plus précis du succès à l'échelle de l'État est peut-être le nombre de personnes ou d'entités qui participent à cette initiative. Plus le groupe est grand, plus le réseau que vous construisez est puissant, car tout le monde est désormais sur la même longueur d'onde. Même si tous les membres du groupe n'adoptent pas activement l'ensemble des politiques et des outils, ils participent au moins aux discussions et partagent leurs commentaires, ce qui contribue à renforcer l'effort collectif.
Les relations constituent le fondement sur lequel repose l'action de l'État dans son ensemble, et la solidité et l'efficacité de ces relations sont un indicateur fiable de la solidité et de l'efficacité de votre initiative dans son ensemble.
En quoi le partage d'informations influe-t-il sur un plan à l'échelle de l'État ?
La collecte et la diffusion d'informations sont essentielles pour lutter contre la cybercriminalité. En partageant des informations, toutes les parties prenantes peuvent renforcer leur niveau de cybersécurité et, par extension, celui de l'ensemble du groupe.
Les « de renseignements sur les menaces » — c'est-à-dire des données agrégées et analysées qui permettent de comprendre les motivations, les cibles et les comportements d'attaque d'un acteur malveillant — revêtent une importance particulière, car elles aident les organisations à prendre de meilleures décisions en matière de cybersécurité et à passer d'une approche réactive à une approche proactive en matière de sécurité. Certaines données relatives aux menaces, telles que les adresses IP et les noms de domaine malveillants, peuvent facilement faire l'objet d'une automatisation et sont accessibles via des flux de données gratuits et open source. D'autres types de renseignements sur les menaces, tels que les motivations ou le comportement d'un acteur malveillant, nécessitent des ressources humaines et un travail d'analyse.
L'un des moyens les plus simples pour les initiatives à l'échelle de l'État de recevoir des informations sur les menaces et d'agir en conséquence consiste à tirer parti du Centre multi-États de partage et d'analyse des informations de l' , (MS-ISAC). Il s'agit d'un centre d'opérations de sécurité (SOC) fonctionnant 24 heures sur 24 et , qui fournit des renseignements, des services de détection et une aide à la réaction aux collectivités territoriales et aux administrations locales.
Parmi les avantages proposés par le MS-ISAC, on peut citer : des services d’intervention en cas d’ , d’ et de criminalistique numérique, un rapport hebdomadaire sur les domaines et adresses IP les plus malveillants, l’accès à sa plateforme d’analyse des codes malveillants (MCAP), ainsi que l’accès au service de blocage et de signalement des domaines malveillants (MDBR), qui bloque les ransomwares. L'adhésion est gratuite et ouverte aux employés ou aux représentants de toutes les entités d'État, locales, tribales et territoriales (SLTT).
De quelle manière les centres de commandement cybernétiques renforcent-ils les opérations menées à l'échelle de l'État ?
Un centre de commandement cybernétique formalise les principes et les fonctions à l'échelle de l'État au sein d'une structure centralisée. Le gouverneur de l’Arizona, Doug Ducey, a récemment inauguré le centre de commandement cyber de l’État, « » (), qui servira de quartier général pour la coordination des opérations de cybersécurité de l’Arizona ( ) (). Elle offre une plateforme centralisée permettant aux professionnels de la cybersécurité et aux agences locales, régionales et fédérales de partager des informations, ainsi que de prévenir les cyberattaques et d'y faire face.
«Une approche à l’échelle de l’État commence par établir le dialogue avec les autres parties prenantes, favoriser la communication et identifier les défis communs. »
Si le centre de cybercommandement de l'Arizona est unique en son genre, chaque État et territoire américain dispose d'au moins un centre de fusion. Ces entités, détenues et gérées par l'État et les collectivités locales, servent de plateformes de coordination pour la transmission d'informations relatives aux menaces au sein du gouvernement fédéral, des entités SLTT et des partenaires du secteur privé. Un centre de fusion peut desservir une grande agglomération ou un État tout entier, et chacun d'entre eux constitue une ressource essentielle sur laquelle les pouvoirs publics et leurs partenaires peuvent s'appuyer pour soutenir leurs initiatives à l'échelle de l'État.
En quoi un modèle à l'échelle de l'État influence-t-il la gestion des incidents ?
Dans le cadre d'un modèle d'intervention en cas d'incident à l'échelle de l'État, on fait appel à des services et à des organisations externes lorsque cela s'avère nécessaire. Lorsque le Département des transports du Colorado a été victime d'une attaque par rançongiciel, par exemple, les responsables informatiques de l'État ont fait appel à la Garde nationale et à son bureau de gestion des urgences, et ont tiré parti, respectivement, de leur expertise en cybersécurité et de leurs compétences en matière de gestion de crise. Cela a permis aux parties d'aborder le problème avec un plan d'action structuré plutôt que d'improviser une réponse.
Quels sont les avantages d'une stratégie à l'échelle de l'État pour ce dernier et pour les participants ?
Le principal avantage d'une stratégie à l'échelle de l'État réside dans une visibilité accrue. Divers secteurs de l'administration sont souvent confrontés à des menaces communes, mais ne communiquent pas suffisamment entre eux pour permettre à chacun d'entre eux de les combattre efficacement. Dès lors qu'ils commencent à partager des informations, ils disposent de davantage de données sur lesquelles s'appuyer, ce qui leur permet de mieux protéger leurs actifs, de prendre de meilleures décisions et de réagir plus rapidement aux menaces.
Un autre avantage réside dans l'accès à davantage de ressources. En mettant leurs ressources financières en commun, les parties peuvent se doter d'outils de meilleure qualité, recruter du personnel à temps plein plutôt qu'à temps partiel et mettre en œuvre d'autres améliorations en matière de cybersécurité sans frais supplémentaires.
Comment une approche à l'échelle de l'État permet-elle de relever les défis actuels en matière de main-d'œuvre dans les domaines de l'informatique et de la cybersécurité ?
L'initiative « Whole-of-state » permet aux communes de surmonter les difficultés liées à la main-d'œuvre grâce à leurs partenariats avec les établissements d'enseignement supérieur et les universités. Le Texas, par exemple, a récemment mis en place un centre régional des opérations de sécurité « » (RSOC) . Les étudiants inscrits à ces formations acquièrent une expérience concrète dans le domaine des technologies de l'information en assurant la surveillance de systèmes complexes à l'aide d'outils de pointe, ce qui leur donne une longueur d'avance lorsqu'ils entrent sur le marché du travail après l'obtention de leur diplôme.
L'organisation bénéficie ainsi d'une couverture de 07/12 qu'elle n'aurait pas pu se permettre autrement, ainsi que de la tranquillité d'esprit de savoir qu'elle dispose de personnel formé pour surveiller activement ses systèmes. C'est un autre exemple qui montre comment une approche à l'échelle de l'État profite à toutes les parties concernées.
Comment les États peuvent-ils définir leurs propres objectifs à l'échelle de l'État ?
Les États peuvent élaborer leur propre stratégie à l'échelle de l'État en suivant les étapes suivantes :
- Commencez à en parler. Une approche à l'échelle de l'État commence par établir le dialogue avec les autres parties prenantes, favoriser la communication et identifier les défis communs. Cela jette les bases de la gouvernance.
- Surmontez les défis. Mettez en œuvre votre stratégie et vérifiez qu'elle fonctionne. Relever un défi à la fois et tirer parti de chaque réussite pour renforcer votre confiance et votre motivation.
- Faites preuve de patience. Aucune stratégie de cybersécurité n'est simple, et tenter d'en élaborer une nécessitant un tel niveau de coordination peut s'avérer particulièrement difficile. Faites preuve de patience et comprenez qu'il y aura quelques écueils en cours de route. Les revers ne signifient pas pour autant que la stratégie ne sera pas efficace à long terme. Continuez simplement à avancer vers votre objectif et les succès ne manqueront pas de suivre.
- Continuez à tisser des liens. Chaque fois que vous êtes confronté à un défi que vous ne savez pas comment résoudre, cela signifie qu’il y a quelque part une personne à qui vous n’avez pas encore parlé. Continuez à nouer de nouvelles relations pour garantir un succès durable. Les partenaires du secteur privé sont particulièrement précieux à cet égard, car ils disposent de ressources plus importantes et peuvent vous aider à trouver une personne capable d'apporter un regard neuf sur votre problème.
À quoi ressemblent les stratégies efficaces mises en œuvre à l'échelle de l'État ?
Plusieurs États adoptent une approche collective en matière de cybersécurité. Parmi les exemples les plus réussis, on peut citer :
- Arizona. Comme indiqué précédemment, l'Arizona a mis en place un centre de commandement cyber à l'échelle de l'État, un projet qui a nécessité quatre ans de préparation. Dans le cadre d'une initiative qui témoigne une nouvelle fois de son engagement en faveur d'une stratégie de cybersécurité à l'échelle de l'État, elle a muté son responsable de la sécurité des systèmes d'information (RSSI) au sein du Département de la sécurité intérieure de l'Arizona, où il occupe le poste de directeur de l'agence et rend compte directement au gouverneur.
- New York. Le Cyber Command de la ville de New York a intégré des citoyens lambda dans sa stratégie à l'échelle de l'État. Elle a lancé l'application « NYC Secure », qui offre une protection gratuite en temps réel aux téléphones portables des utilisateurs. Elle s'est également associée à Quad9, une plateforme gratuite dédiée à la cybersécurité qui remplace la configuration par défaut du fournisseur d'accès à Internet ou du serveur de noms de domaine de l'entreprise, afin de sécuriser 3 000 points d'accès Wi-Fi publics à travers la ville. Elle s'est par ailleurs associée au service municipal chargé de l'accompagnement des petites entreprises afin de fournir à la communauté des entreprises des informations de base sur la cyberhygiène .
- Virginie. Dans le comté de York, le service informatique collabore avec le service des élections afin de diffuser des recommandations de base en matière de cybersécurité à l'ensemble des collectivités locales. Le directeur adjoint des technologies de l'information a pris contact directement avec les petites entreprises et par l'intermédiaire d'un centre régional de développement des petites entreprises afin de leur fournir des informations sur les principes fondamentaux de la cybersécurité. Il fournit aux citoyens des informations similaires, notamment sur la manière de protéger leurs données personnelles en ligne.
Quels enseignements ont tiré ceux qui ont mis en place une stratégie de cybersécurité à l'échelle de l'État ?
La principale leçon à en tirer est que, dans le cadre d'une approche à l'échelle de l'État, il faut laisser les gens prendre leur destin en main. On est tenté de dire aux gens ce qu’ils doivent faire pour résoudre un problème particulier ou de les inciter à utiliser un outil spécifique parce qu’il s’agit du meilleur de sa catégorie. Mais cela ne fera qu'entraîner une faible adoption des outils et un manque de respect des règles. Demander aux gens ce dont ils ont besoin et être à l'écoute de leurs commentaires sont essentiels pour favoriser un environnement collaboratif et garantir le succès final de votre stratégie à l'échelle de l'État.
