Nous savons tous que les cyberattaques dans le secteur public se multiplient. Plus de 100 administrations d'État et municipales ainsi que des dizaines de districts scolaires ont été victimes d'une attaque par ransomware (s'ouvre dans un nouvel onglet) l'année dernière. Et les tensions géopolitiques ne feront qu'encourager, à l'avenir, tant les acteurs malveillants liés à des États que ceux motivés par des intérêts financiers. La période actuelle est difficile pour les responsables de la cybersécurité au sein de ces entités des secteurs public et éducatif. Mais vous pouvez compter sur notre aide.
L'approche de la cybersécurité à l'échelle de l'État adoptée par l' , , s'impose de plus en plus comme un moyen efficace permettant aux organisations confrontées à un adversaire commun de mieux gérer leurs risques cybernétiques. En mettant leurs ressources en commun, en partageant des informations et, de manière générale, en collaborant, ils peuvent renforcer leur défense numérique collective sans se ruiner. Un webinaire Tanium organisé récemment par l' , en partenariat avec l', la National Association of Counties (s'ouvre dans un nouvel onglet) , apporte des informations très intéressantes.
Le panel comprenait des experts des collectivités locales : Ben Edelen, directeur des systèmes d’information (CIO) du comté de Boulder (Colorado), (s’ouvre dans un nouvel onglet) ; Jerry Keely, responsable de la sécurité des systèmes d’information (CISO) du comté de Pinal (Arizona), (s’ouvre dans un nouvel onglet) ; Ryan Murray, responsable de la sécurité des systèmes d’information (CISO) par intérim de l’État de l’Arizona et directeur adjoint du Département de la sécurité intérieure de l’Arizona, (s’ouvre dans un nouvel onglet) ; et Ray Yepes, responsable de la sécurité des systèmes d’information (CISO) de l’État du Colorado, . (s'ouvre dans un nouvel onglet)
Un défi existentiel
Pourquoi une approche à l'échelle de l'État est-elle nécessaire ? En effet, si les États disposent parfois de ressources et de moyens suffisants pour se prémunir contre les cybermenaces graves, de nombreuses entités de plus petite taille — notamment les districts scolaires — peuvent rencontrer des difficultés.
« Il s’agit de partager nos ressources et d’apporter une valeur ajoutée à nos partenaires au sein des petites collectivités, ainsi qu’aux administrations homologues qui se trouvent en dessous d’une sorte de « seuil de cyber-pauvreté », afin que, lorsque la cybersécurité s’améliore dans notre État, elle s’améliore pour nous tous et pas seulement pour les organisations disposant de moyens financiers importants », explique M. Edelen.
Il est également vrai que, dans de nombreux cas, les villes, les départements et d’autres entités locales de moindre envergure se retrouvent confrontées à la puissance d’acteurs étatiques hostiles et de groupes criminels spécialisés dans la cybercriminalité, disposant de budgets annuels de plusieurs millions de dollars. Il est donc d’autant plus important que ceux qui disposent de programmes mieux établis et de ressources à partager le fassent — d’autant plus que les enjeux sont, selon M. Yepes, tout simplement « existentiels ».
« Si une petite ville est victime d’une attaque par rançongiciel, qu’elle ne dispose pas de sauvegardes, qu’elle n’a pas de bonnes défenses et que sa compagnie d’assurance cyber a cessé de la couvrir il y a des années, cette ville se retrouve tout simplement dans l’incapacité de fournir des services publics, et nous ne pouvons pas laisser cela se produire », affirme-t-il.
Comment y parvenir
La question est de savoir comment tout mettre en place. Selon Murray, il ne s'agit pas de réinventer la roue, mais de déterminer dans quels domaines une approche commune peut réellement générer des gains d'efficacité et des économies d'échelle. Il affirme que le programme de l'État de l'Arizona a déjà permis d'obtenir des résultats positifs de ce type.
« Au lieu que de nombreux groupes disparates disent : “Je veux tel outil précis” ou “J’ai besoin qu’on résolve tel problème précis”, nous nous unissons tous pour tenter de les résoudre à plus grande échelle », explique-t-il. « De cette manière, nous n’avons pas à gérer 27 outils différents au sein des administrations régionales et 30 autres outils différents pour l’ensemble des départements. » « Nous utilisons les mêmes outils partout, tous gérés par l'État et soutenus par nos partenaires des collectivités locales. »
Parmi les autres conseils partagés par les intervenants, on peut citer :
À l'écoute des petits partis : Les approches à l'échelle de l'État n'appartiennent à personne ; cela signifie qu'il convient de mettre l'accent sur l'aide à apporter à ceux qui en ont le plus besoin, comme les villes, les départements et la route K12s. « Les États ne devraient pas prétendre savoir ce dont ils ont besoin, mais plutôt être à l'écoute et veiller à ce que les voix les plus discrètes soient entendues », déclare M. Yepes.
Allez à la rencontre des gens là où ils se trouvent : Compte tenu des distances à parcourir, il pourrait être judicieux que des experts au niveau de l’État organisent des tournées de présentation sur le terrain afin de rencontrer les parties prenantes là où elles vivent et travaillent, plutôt que de leur demander de se rendre dans les capitales régionales, explique M. Murray.
Commencez modestement et voyez grand : Pour vous lancer, il serait peut-être préférable de commencer avec un groupe relativement restreint de personnes désireuses de collaborer davantage, explique Neeley.
« Il n’y a aucun mal à demander de l’aide », ajoute-t-il. « Personne ne devrait croire qu’il sait tout. » « En Arizona, tout a commencé avec un tout petit groupe de personnes qui se sont réunies et se sont dit : “Commençons à collaborer.” »
Commencez par vous pencher sur les renseignements sur les menaces : . Cela ouvre la voie à des résultats rapides pour les défenseurs d'une approche à l'échelle de l'État. M. Edelen fait valoir que les flux d'informations sur les menaces provenant des agences fédérales, des ISAC et d'autres organismes similaires peuvent être lents, car ils nécessitent de nombreuses vérifications et confirmations pour garantir leur exactitude.
Selon M. Edelen, il est important de mettre en place un dispositif réactif permettant de s'adapter rapidement et de partager avec vos collègues des informations potentiellement dangereuses, telles que des adresses IP susceptibles de perturber leurs environnements ou une adresse e-mail manifestement compromise dans la ville ou le département voisin.
Commencez tout simplement : On passe beaucoup de temps à se demander quels comités et groupes de travail il convient de mettre en place. Cela peut vous faire perdre de vue la situation dans son ensemble, conclut Murray.
« Les administrations changent, changent, les directions changent. » « Nous ne pouvons pas nous retrouver pris au piège dans cette situation et devoir revoir notre planification tous les deux ou quatre ans », déclare-t-il. « Il suffit de se lancer, et le reste suit tout naturellement. » « Tout le reste se mettra en place. »
Pour visionner l'intégralité du webinaire « Whole-of-State 2,0 : A Tale of Two States and Counties » ( : introduction à l'approche « Whole-of-State » : l'histoire de deux États et de deux départements), veuillez consulter la vidéo intégrée ci-dessus.
Découvrez comment mettre en œuvre une architecture de sécurité à l'échelle de l'État pour protéger les données de vos citoyens en consultant ou en visitant notre site web , et explorez plus de 25 articles de blog, livres blancs, entretiens avec des leaders d'opinion et bien plus encore en consultant notre bibliothèque de ressources. (s'ouvre dans un nouvel onglet)
