Alors que les collectivités publiques régionales et locales, les établissements de santé et les établissements scolaires sont la cible d'attaques de la part de cybercriminels, certains responsables de la cybersécurité au sein des pouvoirs publics se demandent s'il n'est pas temps de s'unir et d'adopter une approche globale de la cybersécurité à l'échelle de l'État.
Qu'entend-on par « cybersécurité à l'échelle de l'État » ?
Dans le cadre d'une approche à l'échelle de l'État, les gouvernements des États collaborent avec les communes, les établissements scolaires de la maternelle à la terminale, les entités tribales et d'autres organismes publics de leur État respectif, en leur fournissant des financements et des outils, en leur apportant des conseils et en partageant des informations. Grâce à cette collaboration, les petites structures, telles que les établissements scolaires de la maternelle à la terminale, qui manquent aujourd’hui de moyens financiers et de personnel en matière de cybersécurité, peuvent bénéficier des ressources et de l’expertise de leurs homologues plus importants et mieux financés.
Comme je l'ai mentionné dans « », un article de blog précédent, une stratégie de cybersécurité à l'échelle de l'État repose sur trois axes qui s'articulent entre eux comme les pieds d'un tabouret. Ces trois pratiques sont les suivantes :
- Gouvernance et élaboration des politiques
- Mise en œuvre
- Validation
Dans cet article de blog, je vais m'intéresser aux aspects liés à la gouvernance et à l'élaboration des politiques de cette stratégie. La gouvernance et l'élaboration des politiques comprennent les quatre activités suivantes :
- Mettre en place des équipes de gouvernance interorganisationnelles et des processus de communication destinés à accompagner ces équipes sur le long terme
- Sélectionner et s'appuyer sur des cadres stratégiques éprouvés, tels que ceux proposés par le Center for Internet Security (CIS) et le National Institute of Standards and Technology (NIST)
- Réaliser des analyses de risques afin de contribuer à la définition des politiques
- Mettre en place et tirer parti des sources de financement afin de soutenir la stratégie à l'échelle de l'État
Qui élabore les politiques de cybersécurité à l'échelle de l'État ?
Les programmes de cybersécurité à l'échelle de l'État reposent en fin de compte sur une collaboration entre diverses entités gouvernementales, dont chacune est responsable de ses propres politiques en matière de cybersécurité. Certaines de ces entités publiques relèvent du gouverneur, mais beaucoup d’autres, notamment les districts scolaires et l’équipe MS-ISAC de l’ , (s’ouvre dans un nouvel onglet), n’en relèvent pas. Dans la plupart des États, ces entités n'ont jamais collaboré étroitement auparavant dans le cadre d'initiatives en matière de cybersécurité. La première étape consiste donc à réunir les représentants de ces groupes, à les présenter les uns aux autres et à commencer à instaurer un climat de confiance entre les parties prenantes.
Par le passé, une grande partie des travaux relatifs à la politique de cybersécurité au niveau régional était assurée par des consultants externes, tels que des intégrateurs de systèmes internationaux. Même si les consultants continuent à apporter leur aide dans ce domaine, ils devraient désormais rendre compte à cette nouvelle équipe centralisée chargée de la cybersécurité.
La mise en place de cette équipe peut prendre du temps. Les responsables informatiques et de la sécurité de toutes ces organisations sont déjà très occupés. Ils doivent désormais trouver du temps dans leur agenda pour de nouvelles réunions, des vidéoconférences, des rapports et d'autres activités liées à la cybersécurité. Et ils doivent apprendre à faire confiance au jugement et aux décisions des dirigeants d’autres organisations, y compris celles dont ils ne relèvent pas officiellement.
Il est important de rappeler à tous les dirigeants les avantages de cette initiative commune : une cybersécurité renforcée pour tous et des économies à long terme.
Il est également important que cette équipe interorganisationnelle soit une entité indépendante axée sur la gouvernance, et non pas simplement une « équipe d'intervention » composée d'ingénieurs informatiques qui, traditionnellement, sont eux-mêmes chargés de mettre en œuvre les mesures de cybersécurité. Les décideurs politiques devraient être distincts de ceux qui mettent en œuvre les politiques élaborées. Cela permet de garantir que les politiques sont rigoureuses, fondées sur les meilleures pratiques du secteur et les dernières informations en matière de menaces, et que la conformité, aussi bien intentionnée soit-elle, ne se résume pas à un simple formalisme administratif. Certains États, tels que la Floride, l'Arizona et New York, ont même mis en place leurs propres départements de la Sécurité intérieure afin de disposer d'un organisme distinct, axé sur les politiques, capable de définir et de valider les politiques de cybersécurité sans intervenir directement dans leur mise en œuvre.
Dans de nombreux États, cette séparation des fonctions marque un changement radical. Les équipes informatiques auraient pu être chargées de rédiger les politiques, de les mettre en œuvre et de certifier elles-mêmes qu'elles respectaient ces politiques. En séparant ces fonctions, certains États s'efforcent de rendre leurs politiques plus complètes et plus rigoureuses, et de responsabiliser les équipes informatiques quant à leur mise en œuvre, de manière à ce que celle-ci puisse être évaluée objectivement. (J'aborderai plus en détail cette approche en matière de politique et de validation dans mon prochain article de blog consacré à la phase de validation « » d'une stratégie à l'échelle de l'État :.)
Gouvernance et élaboration des politiques en vue d'une stratégie à l'échelle de l'État
Les responsables informatiques des collectivités publiques n'ont pas besoin de partir de zéro pour élaborer des politiques efficaces en matière de cybersécurité. Ils peuvent plutôt s'appuyer sur des cadres stratégiques établis, tels que ceux proposés par le Centre pour la sécurité sur Internet ( ) (s'ouvre dans un nouvel onglet) (CIS) ou par les Instituts nationaux des normes et des technologies ( ) (s'ouvre dans un nouvel onglet) (NIST). Grâce à ces cadres, les équipes chargées de l'élaboration des politiques peuvent :
- Mettre en place des normes d' s en matière de bonnes pratiques de cybersécurité
- Définir les seuils de risque acceptables
- Définissez des politiques pouvant être mises en œuvre au fil du temps afin de respecter ces normes et de traiter les risques hautement prioritaires
Les référentiels du CIS et du NIST proposent des modèles permettant de rédiger des politiques de sécurité complètes et détaillées. L'élaboration de politiques aussi complètes est un objectif louable, mais leur mise en œuvre pourrait, à court terme, dépasser les moyens d'organismes tels que les districts scolaires de l'enseignement primaire et secondaire.
Une autre approche consiste à définir des politiques globales, mais aussi à établir une liste des meilleures pratiques hautement prioritaires que chacun doit respecter. C'est l'approche que l'État de l'Arizona a adoptée dans le cadre de sa stratégie à l'échelle de l'État. L'équipe chargée de la cybersécurité de l'État a identifié une « liste des 18” principales mesures de contrôle CIS » publiée par l' (s'ouvre dans un nouvel onglet) à mettre en œuvre, offrant ainsi aux entités publiques de toutes tailles une liste gérable de projets sur lesquels se concentrer. Les pratiques en matière de sécurité se sont améliorées, et aucune organisation ne s'est retrouvée submergée par une liste exhaustive d'exigences.
Une visibilité globale pour l'élaboration des politiques
Une question qui se pose rapidement lors de l'élaboration de politiques de sécurité informatique consiste à déterminer quels sont exactement les actifs informatiques qui doivent être protégés. Après tout, vous ne pouvez pas mettre en place des mesures visant à protéger vos actifs si vous ne savez pas de quels actifs vous disposez. Ainsi, l'une des conditions préalables à l'élaboration de politiques efficaces consiste à dresser un inventaire de l'ensemble des actifs informatiques de toutes les organisations participant au programme à l'échelle de l'État.
Les chefs de projet peuvent demander aux responsables informatiques des organisations de dresser l'inventaire de tous les terminaux (appareils tels que les ordinateurs portables et les serveurs) présents dans leurs environnements informatiques respectifs. Lors de l'établissement de ces inventaires, veillez à harmoniser la terminologie afin que les administrations et les responsables informatiques puissent réellement comprendre de quels actifs ils disposent. Si vous comptez, par exemple, les ordinateurs portables sous Windows 10 , vous devriez peut-être définir la manière de compter les ordinateurs portables sous Windows 10 , afin d'éviter tout risque de confusion avec ceux sous Windows 8,1 .
L'une des raisons pour lesquelles ce travail est réalisé dès les premières étapes des phases d'élaboration et de mise en œuvre de ce projet est de s'assurer que l'équipe chargée des politiques a rédigé des politiques pour tous les types d'appareils gérés. Vous ne voudriez pas, par exemple, négliger les appareils connectés (IoT) pour vous rendre compte par la suite qu’ils jouent un rôle clé dans le réseau de transports en commun d’une collectivité tournée vers l’avenir.
Évaluation des risques au service de l'élaboration des politiques
Les référentiels du NIST et du CIS soulignent l'importance de la gestion des risques (s'ouvre dans un nouvel onglet). La gestion des risques consiste à évaluer l'impact des incertitudes sur les objectifs d'une organisation, puis à prendre des mesures pour atténuer cet impact.
En matière de sécurité informatique, la gestion des risques consiste à identifier et à protéger les actifs et les processus informatiques qui sont essentiels à la réalisation de la mission d'une organisation. Pour le Service des immatriculations (DMV) d’un État, par exemple, il est d’une importance capitale de pouvoir stocker et gérer en toute sécurité les dossiers des demandeurs. Il en va de même pour la garantie que les frais de licence réglés par carte bancaire sont protégés par des systèmes conformes aux normes PCI-DSS.
La gestion des risques, dans ce cas précis, consiste à recenser l'ensemble des ressources informatiques et des processus intervenant dans la création et la gestion des dossiers du service, à identifier tous les risques associés à ces ressources et processus, à évaluer la probabilité de survenue de chaque risque, puis à mettre en œuvre les ressources humaines, les processus et les technologies nécessaires pour y remédier. Par exemple, si le fait de disposer de sauvegardes sécurisées hors site contribuait à protéger l'intégrité des dossiers d'un service, la mise en place de ces sauvegardes ferait alors partie de la stratégie de gestion des risques de ce service.
Même le programme de cybersécurité le plus complet à l'échelle de l'État ne peut pas se permettre de protéger chaque ressource et chaque processus informatiques de manière optimale. Il faudra établir des priorités en matière d'investissements informatiques. Il est donc judicieux d'évaluer les risques au sein de toutes les organisations participant au programme à l'échelle de l'État, afin que les équipes puissent élaborer des politiques adaptées et allouer des ressources adéquates pour protéger ce qui est le plus important pour chacune d'entre elles.
Considérations particulières relatives au financement d'un programme de cybersécurité à l'échelle de l'État
Certaines questions finales à prendre en compte lors de la phase d'élaboration des politiques concernent le financement. Les dirigeants régionaux pourraient se demander, avant toute chose, comment financer une initiative de cybersécurité à l'échelle de la région. Ils pourraient également se demander comment établir les budgets de manière à ce que toutes les charges financières ne pèsent pas uniquement sur quelques équipes centralisées.
Afin de contribuer au financement d'une initiative de cybersécurité à l'échelle de l'État, les organisations du SLED devraient tirer parti de toutes les sources de financement à leur disposition. Recherchez les programmes de subventions susceptibles d'aider les communes, les établissements scolaires, les organisations tribales, voire l'État lui-même, à financer un ensemble d'outils et de services standardisés en matière de cybersécurité. Par ailleurs, le gouvernement fédéral propose aux États certaines augmentations de financement à court terme afin de renforcer la cybersécurité. Les États devraient tirer parti de ces fonds fédéraux tant qu'ils sont disponibles.
Deuxièmement, l'équipe chargée de la cybersécurité à l'échelle de l'État devrait s'efforcer d'obtenir des financements de l'État afin de soutenir l'initiative de cybersécurité à l'échelle de l'État. Quelques États l'ont déjà fait. Grâce à un fonds dédié de plusieurs millions de dollars dont ils disposent, ils peuvent acquérir le matériel informatique et les services de formation dont les districts scolaires et d’autres organisations ont besoin, en veillant à ce que ces achats bénéficient de remises sur volume et à ce que les logiciels et le matériel soient aussi homogènes que possible au sein des différentes entités publiques. Ce financement supplémentaire constitue une incitation supplémentaire pour les organisations à participer à l'initiative dans son ensemble. En sollicitant des subventions destinées à la modernisation et à la sécurisation de leur infrastructure informatique, des organismes tels que les districts scolaires peuvent améliorer leur cyberhygiène tout en libérant des fonds qu'ils pourront consacrer à d'autres projets liés à la cybersécurité.
Enfin, il convient de souligner qu’un programme de cybersécurité à l’échelle de l’État, s’il est couronné de succès, devrait permettre aux États, aux communes, aux établissements scolaires de la maternelle à la terminale et aux autres organismes locaux de réaliser des économies. Si le renforcement de la sécurité permet d'éviter de devoir verser des rançons de plusieurs millions de dollars ou d'éliminer les pannes entraînant une perte de chiffre d'affaires, ces investissements initiaux seront rentabilisés.
En savoir plus
Cet article s'inscrit dans une série consacrée à l'examen de chacune des trois pratiques – gouvernance, mise en œuvre et validation – nécessaires à la mise en place d'une stratégie de cybersécurité à l'échelle de l'État.
Si vous souhaitez découvrir comment la plateforme Tanium Converged Endpoint Management d' , disponible à l'adresse , peut aider votre organisation à mettre en œuvre une stratégie de cybersécurité plus aboutie, n'hésitez pas à nous contacter.
