Alors que les gouvernements étatiques et locaux, les organisations de soins de santé et les écoles sont attaquées par des cybercriminels, certains leaders gouvernementaux de la cybersécurité se demandent s’il n’est pas temps de se rassembler et d’adopter une approche de la cybersécurité à l’échelle de l’État.
Qu’est-ce que la cybersécurité à l’échelle de l’État ?
Dans une approche à l’échelle de l’État, les gouvernements d’État travaillent avec les municipalités, les écoles K-12 secondaires, les entités tribales et d’autres organisations gouvernementales dans leurs États respectifs, fournissant des financements et des ensembles d’outils, offrant des conseils et partageant des renseignements. Grâce à cette collaboration, les petites organisations telles que les écoles K-12 qui sont sous-financées et sous-chargées en cybersécurité aujourd’hui peuvent bénéficier des ressources et de la sagesse des pairs plus grands et mieux financés.
Comme je l’ai mentionné dans un article de blog précédent, une stratégie de cybersécurité à l’échelle de l’État comprend trois pratiques qui s’assemblent comme les pieds d’un tabouret. Les trois pratiques sont :
- Gouvernance et politique
- Mise en œuvre
- Validation
Dans cet article de blog, je vais examiner la gouvernance et l’élaboration de politiques dans le cadre de cette stratégie. La gouvernance et l’élaboration des politiques impliquent les quatre activités suivantes :
- Créer des équipes de gouvernance et des processus de communication interorganisationnels pour soutenir ces équipes au fil du temps
- Sélectionner et s’appuyer sur des cadres politiques éprouvés tels que ceux du Center for Internet Security (CIS) et du National Institute of Standards and Technology (NIST)
- Effectuer des évaluations des risques pour aider à définir des politiques
- Établir et tirer parti des ressources de financement pour soutenir la stratégie de l’ensemble de l’État
Qui crée des politiques de cybersécurité dans l’ensemble de l’État ?
Les programmes de cybersécurité dans l’ensemble de l’État sont en fin de compte des collaborations entre diverses entités gouvernementales, chacune étant responsable de ses propres politiques de cybersécurité. Certaines de ces entités gouvernementales rendent compte au gouverneur, mais beaucoup, y compris les districts scolaires et l’ équipe MS-ISAC de l’État, ne le font pas. Dans la plupart des États, ces entités n’ont jamais travaillé en étroite collaboration sur des initiatives de cybersécurité auparavant. La première étape consiste donc à rassembler les représentants de ces groupes, à faire des présentations et à commencer à établir la confiance entre les parties prenantes.
Par le passé, une grande partie du travail de la politique de cybersécurité au niveau de l’État était effectuée par des consultants externes tels que des intégrateurs de systèmes mondiaux. Même si les consultants continuent à aider dans ce travail, ils doivent désormais rendre compte à cette nouvelle équipe centralisée de cybersécurité.
La mise en place de cette équipe peut prendre du temps. Les responsables informatiques et de la sécurité de toutes ces organisations sont déjà occupés. Ils doivent désormais trouver de la place sur leurs calendriers pour de nouvelles réunions, vidéoconférences, rapports et autres activités de cybersécurité. Et ils doivent apprendre à faire confiance au jugement et à la prise de décision des dirigeants d’autres organisations, y compris les organisations auxquelles ils ne rendent pas officiellement compte.
Il est important de rappeler à tous les leaders les avantages de cette initiative conjointe : amélioration de la cybersécurité pour tous et économies de coûts en cours de route.
Il est également important que cette équipe interorganisationnelle soit une organisation indépendante axée sur la gouvernance et pas simplement une équipe tigre d’ingénieurs informatiques qui étaient traditionnellement responsables de la mise en œuvre des contrôles de cybersécurité eux-mêmes. Les décideurs politiques doivent être distincts de ceux qui mettent en œuvre les politiques établies. Cela permet de s’assurer que les politiques sont rigoureuses, basées sur les meilleures pratiques du secteur et les dernières informations sur les menaces, et que la conformité, quelle que soit sa destination, n’est pas simplement une question de reporting tamponné. Certains États tels que la Floride, l’Arizona et New York ont même mis en place leurs propres ministères de la Sécurité intérieure pour s’assurer qu’il existe un organisme distinct et axé sur les politiques qui peut définir et valider les politiques de cybersécurité sans être impliqué dans la mise en œuvre directe de ces politiques.
Dans de nombreux États, cette séparation des tâches représente un changement spectaculaire. Les équipes informatiques peuvent avoir été chargées de rédiger des politiques, de les mettre en œuvre et de s’auto-évaluer qu’elles sont conformes à ces politiques. En séparant ces tâches, certains États s’efforcent de rendre les politiques plus complètes et rigoureuses et de tenir les équipes informatiques responsables de leur mise en œuvre d’une manière qui peut être mesurée objectivement. (Je discuterai plus en détail de cette approche de la politique et de la validation dans mon prochain article de blog sur la phase de validation d’une stratégie à l’échelle de l’État.)
Gouvernance et élaboration de politiques pour une stratégie à l’échelle de l’État
Les responsables informatiques de l’État n’ont pas besoin de partir de zéro lorsqu’il s’agit de rédiger des politiques de cybersécurité efficaces. Au lieu de cela, ils peuvent s’appuyer sur des cadres politiques établis tels que ceux du Center for Internet Security (CIS) ou des National Institutes of Standards and Technology (NIST). À l’aide de ces cadres, les équipes chargées des politiques peuvent :
- Établir des normes pour une bonne cyberhygiène
- Déterminer des seuils acceptables pour les risques
- Définir des politiques qui peuvent être appliquées au fil du temps pour respecter ces normes et traiter les risques hautement prioritaires
Les cadres CIS et NIST fournissent des modèles pour rédiger des politiques de sécurité détaillées et complètes. La création de politiques aussi complètes est un objectif louable, mais la mise en œuvre de ces politiques peut dépasser les moyens des organisations telles que les districts scolaires de l’K-12 secondaire à court terme.
Une autre approche consiste à définir des politiques complètes, mais également une liste hautement prioritaire des meilleures pratiques que tout le monde doit suivre. Il s’agit de l’approche que l’État de l’Arizona a adoptée avec sa stratégie globale. L’équipe de cybersécurité de l’État a identifié une « liste des 18” principaux contrôles CIS à mettre en œuvre, donnant aux entités gouvernementales de toutes tailles une liste gérable de projets sur lesquels se concentrer. Les pratiques de sécurité se sont améliorées, et aucune organisation ne s’est retrouvée submergée par une liste exhaustive de demandes.
Visibilité complète pour l’élaboration des politiques
Une question qui se pose rapidement lors de la rédaction des politiques de sécurité informatique consiste à déterminer exactement quels actifs informatiques doivent être protégés. Après tout, vous ne pouvez pas créer de politiques pour protéger les actifs si vous ne savez pas quels actifs vous possédez. L’une des exigences pour une élaboration efficace des politiques consiste donc à créer un inventaire de tous les actifs informatiques de toutes les organisations participant au programme global.
Les chefs de projet peuvent demander aux responsables informatiques des organisations de compiler des inventaires de tous les endpoints (appareils tels que les ordinateurs portables et les serveurs) dans leurs environnements informatiques respectifs. Lors de la compilation de ces inventaires, assurez-vous de normaliser la terminologie afin que les agences et les responsables informatiques puissent vraiment comprendre quels actifs ils possèdent. Si vous comptez par exemple les ordinateurs portables Windows 10 , vous voudrez peut-être décider de la façon de compter les ordinateurs portables Windows 10 , il n’y a donc aucun risque qu’ils soient confondus avec les ordinateurs portables Windows 8,1 .
Une raison d’effectuer ce travail tôt dans les phases de politique et de mise en œuvre de ce projet est de s’assurer que l’équipe de politique a rédigé des politiques pour tous les types d’appareils sous gestion. Vous ne souhaitez pas passer outre les appareils IdO, par exemple, puis découvrir plus tard qu’ils jouent un rôle clé dans le système de transit d’une municipalité avant-gardiste.
Évaluation des risques pour l’élaboration des politiques
Les cadres NIST et CIS soulignent l’importance de la gestion des risques. La gestion des risques est la pratique consistant à mesurer l’effet des incertitudes sur les objectifs d’une organisation, puis à prendre des mesures pour réduire les effets de ces incertitudes.
Pour la sécurité informatique, la gestion des risques consiste à identifier et à protéger les actifs et processus informatiques les plus importants pour soutenir la mission d’une organisation. Pour le Département des véhicules motorisés (DMV) d’un État, par exemple, pouvoir stocker et gérer en toute sécurité les dossiers des candidats est d’une importance cruciale. Il en va de même pour s’assurer que les frais de licence payés par carte de crédit sont protégés par des systèmes conformes aux normes PCI-DSS.
La gestion des risques, dans ce cas, implique l’identification de toutes les ressources et processus informatiques impliqués dans la création et la gestion des dossiers du service, l’identification de tous les risques associés à ces ressources et processus, l’identification de la probabilité de chaque risque, puis l’application des personnes, processus et technologies pour traiter ces risques. Par exemple, si le fait d’avoir des sauvegardes sécurisées hors site permet de protéger l’intégrité des dossiers du service, la configuration de ces sauvegardes fera partie de la stratégie de gestion des risques de ce service.
Même le programme de cybersécurité complet le plus complet ne peut pas se permettre de protéger chaque actif et processus informatiques dans la plus grande mesure possible. Les investissements informatiques devront être prioritaires. Il est donc judicieux de mesurer les risques dans toutes les organisations impliquées dans le programme de l’ensemble de l’État, afin que les équipes puissent rédiger des politiques raisonnables et allouer des sources raisonnables pour protéger ce qui est le plus important pour chaque organisation.
Considérations de financement spéciales pour un programme de cybersécurité à l’échelle de l’État
Certaines questions finales à prendre en compte dans la phase d’élaboration des politiques concernent le financement. Les dirigeants d’État peuvent se demander comment financer une initiative de cybersécurité à l’échelle de l’État en premier lieu. Ils peuvent également se demander comment établir des budgets afin que tous les fardeaux financiers ne relèvent pas de quelques équipes centralisées.
Pour aider à financer une initiative de cybersécurité à l’échelle de l’État, les organisations SLED doivent tirer parti de chaque source de financement qu’elles peuvent trouver. Recherchez des programmes de subvention qui pourraient aider les municipalités, les écoles, les organisations tribales ou même l’État lui-même à financer une suite d’outils et de services de cybersécurité standardisés. En outre, le gouvernement fédéral propose aux États des augmentations de financement à court terme pour traiter la cybersécurité. Les États devraient tirer parti de ces fonds fédéraux tant qu’ils sont disponibles.
Deuxièmement, l’équipe de cybersécurité de l’ensemble de l’État doit s’efforcer d’obtenir un financement de l’État pour soutenir l’initiative de cybersécurité de l’ensemble de l’État. Quelques États l’ont déjà fait. Grâce à un fonds dédié de plusieurs millions de dollars, ils peuvent acheter l’équipement informatique et les services de formation dont les districts scolaires et d’autres organisations ont besoin, en s’assurant que les achats sont effectués avec des remises en volume et que les logiciels et le matériel sont aussi cohérents que possible entre les entités gouvernementales. Ce financement supplémentaire offre une autre incitation aux organisations à participer à l’initiative dans son ensemble. En demandant des subventions pour moderniser et sécuriser leur infrastructure informatique, les organisations telles que les districts scolaires peuvent améliorer leur cyberhygiène tout en libérant des fonds pour une utilisation sur d’autres projets liés à la cybersécurité.
Enfin, il convient de souligner qu’un programme de cybersécurité réussi dans l’ensemble de l’État devrait permettre aux États, aux municipalités, K-12 et à d’autres organisations locales d’économiser de l’argent. Si une sécurité améliorée élimine le besoin de paiements de rançon de plusieurs millions de dollars ou élimine les pannes qui entraînent une perte de revenus, ces investissements initiaux paieront pour eux-mêmes.
En savoir plus
Cette publication fait partie d’une série examinant chacune des trois pratiques – gouvernance, mise en œuvre et validation – requises pour réaliser une stratégie de cybersécurité à l’échelle de l’État.
Si vous souhaitez savoir comment la plateforme Tanium Converged Endpoint Management peut aider votre organisation à adopter une stratégie de cybersécurité plus mature, veuillez nous contacter.
