Les cyberattaques contre les agences gouvernementales locales et étatiques américaines ont considérablement augmenté ces dernières années. Environ 44 % des attaques de ransomware dans le monde ciblent désormais les municipalités. Les rançongiciels ont frappé au moins 2 354 gouvernements, établissements de santé et écoles en 2020 seulement. Trop souvent, ces attaques réussissent parce que les gouvernements municipaux, les écoles K-12 et d’autres petites agences gouvernementales manquent de personnel, d’outils et d’expertise dont ils ont besoin pour se défendre de manière adéquate.
Qu’est-ce qu’une stratégie de cybersécurité à l’échelle de l’État ?
Pour aider à défendre les municipalités et d’autres gouvernements locaux contre ces attaques, certains gouvernements d’État adoptent désormais une approche à l’échelle de l’État en matière de cybersécurité. Dans le cadre d’une stratégie globale appliquée au niveau de l’État, le gouvernement de l’État collabore avec des organisations gouvernementales locales plus petites pour s’assurer que tout le monde est protégé contre les menaces. Dans le cadre de cette collaboration, les gouvernements d’État partagent la formation, les renseignements sur les menaces, les outils et d’autres ressources avec les municipalités et d’autres organisations locales pour renforcer les cyberdéfenses.
Voyons ce qui motive cette nouvelle approche de la cybersécurité et les trois composants clés, la gouvernance, la mise en œuvre et la validation, qui sont nécessaires pour que cela fonctionne.
Regardez cette interview vidéo « À la hauteur » pendant laquelle Jennifer Pittman-Leeper explique ce qu’est une stratégie de cybersécurité à l’échelle de l’État et comment commencer.
https://youtu.be/BOEF82h1r44
Un besoin urgent d’une meilleure cyberhygiène
Les chiffres varient d’une enquête à l’autre, mais il est clair qu’un nombre disproportionné de ransomwares et d’autres attaques sont dirigés vers les gouvernements étatiques et locaux.
Pourquoi cibler ces organisations ? Certaines des attaques sont probablement aléatoires, le résultat des attaquants adoptant une approche de « prière » pour le ciblage et se produisant juste pour frapper les agences étatiques et locales.
Dans d’autres cas, les attaquants peuvent cibler des agences parce qu’ils soupçonnent qu’ils ont des polices de cyber-assurance qui paieront les rançons et tous les coûts de remédiation nécessaires. Il y a une certaine vérité à cela. En fait, lorsque les victimes de ransomware décident de payer, les agences étatiques et locales finissent par payer 10 fois les montants payés par les entités commerciales.
Les attaquants peuvent également cibler les municipalités et d’autres petites agences, car ils savent que les défenses de cybersécurité sont plus faibles au niveau national et local. La plupart des États dépensent seulement 1-2 % de leurs budgets informatiques en cybersécurité, tandis que les agences fédérales et les entreprises commerciales dépensent 5-20 %.
Enfin, de nombreux services gouvernementaux locaux sont considérés comme essentiels, offrant aux dirigeants gouvernementaux une forte incitation à payer des rançons et à résoudre rapidement une attaque. Par exemple, lorsqu’une attaque par rançongiciel a fermé les services gouvernementaux de la ville de Baltimore en 2019, les effets sur la ville étaient répandus et coûteux. Les transferts de propriété, par exemple, n’ont pas pu être traités, faisant glisser le marché immobilier vers le bas. Les citoyens étaient bloqués sur les sites Web qu’ils utilisaient pour payer leurs factures d’eau, leurs taxes foncières et leurs tickets de stationnement. La correction des effets de l’attaque a pris des mois et a finalement coûté à la ville au moins 18,2 millions USD.
Avec des récits prudents comme celui-ci, il n’est pas surprenant que d’autres municipalités et d’autres organisations gouvernementales souhaitent éviter de tomber en proie à des rançongiciels ou à d’autres types de cyberattaques.
Les gouvernements d’État réalisent qu’ils peuvent aider. Reconnaissant que les municipalités et d’autres agences locales sont à court de personnel et sous-financées, certains gouvernements d’État adoptent une stratégie à l’échelle de l’État, en mutualisant les ressources et en partageant des informations pour protéger les organisations gouvernementales de la ville au niveau de l’État.
« Les gouvernements d’État fournissent de plus en plus de services aux gouvernements des comtés et des municipalités, y compris la protection des endpoints, les accords de service partagé pour les outils cyberdéfensifs, la réponse aux incidents et la sensibilisation et la formation à la cybersécurité à l’échelle de l’État », a écrit la National Governors Association (NGA) et la National Association of State Chief Information Officers (NASCIO) dans leur rapport 2020 , Stronger Together : la collaboration en matière de cybersécurité au niveau national et local. Depuis, ce mouvement n’a fait que gagner en dynamisme.
« Les gouvernements d’État fournissent de plus en plus de services aux gouvernements des comtés et des municipalités, y compris la protection des endpoints, les accords de service partagé pour les outils cyberdéfensifs, la réponse aux incidents et la sensibilisation et la formation à la cybersécurité à l’échelle de l’État. »
Les composants d’une stratégie de cybersécurité à l’échelle de l’État
Une stratégie de cybersécurité à l’échelle de l’État offre trois pratiques qui fonctionnent ensemble. Vous pouvez les considérer comme les jambes d’un tabouret. Vous avez besoin des trois pour que la stratégie fonctionne.
Ces trois pratiques sont :
- Gouvernance et politique
- Mise en œuvre
- Validation
Explorons chacun d’entre eux tour à tour.
Gouvernance et politique
Les bons responsables informatiques se tourneront vers des politiques et cadres établis tels que CIS ou NIST pour poser les bases d’un programme de cybersécurité robuste. Ces cadres aident les organisations à établir des normes pour une bonne cyberhygiène, à déterminer des seuils acceptables pour les risques et à définir des politiques qui peuvent être appliquées au fil du temps pour réaliser ces normes et traiter ces risques.
Dans de nombreux États, les consultants tels que les intégrateurs de systèmes mondiaux ont fait une grande partie de cette politique. Plus récemment, certains États ont apporté ce travail « en interne » au Département de la sécurité intérieure de l’État ou à une organisation similaire.
En général, il est judicieux de séparer le travail d’élaboration des politiques du travail de mise en œuvre. De cette manière, les politiques peuvent être réfléchies et développées en fonction des meilleures pratiques à l’échelle du secteur, plutôt que d’être développées pour s’adapter aux ensembles d’outils et pratiques existants (et aux habitudes) d’une équipe informatique particulière.
Mise en œuvre
Il s’agit de la phase d’« action » d’une stratégie à l’échelle de l’État. Dans cette phase, les ingénieurs et responsables informatiques administrent les politiques développées dans la phase de politique.
Il s’agit également d’un domaine commun dans lequel les stratégies de cybersécurité peuvent se décomposer. En effet, sans une coordination suffisante entre l’équipe de politique et l’équipe de mise en œuvre, les politiques peuvent être trop vastes ou trop coûteuses à mettre en œuvre. Les politiques doivent être rigoureuses, voire audacieuses, mais elles doivent également être pratiques.
Pour véritablement mettre en œuvre une stratégie multi-agences, dans l’ensemble de l’État, les agences, les municipalités et d’autres organisations locales doivent standardiser les ensembles d’outils et les processus qu’elles utiliseront pour mettre en œuvre des politiques.
Si une nouvelle vulnérabilité logicielle est annoncée, à quelle vitesse l’ensemble de l’état, du gouvernement de l’État à ses municipalités, peut-il faire l’inventaire de tous ses actifs informatiques pour comprendre quels endpoints doivent être mis à jour ? Si une agence informatique développe une meilleure pratique, dans quelle mesure cette meilleure pratique peut-elle être facilement partagée dans l’ensemble de l’État ? Il y a de fortes chances que, si les ensembles d’outils ne sont pas standardisés, le partage des connaissances et des techniques soit plus difficile.
La mise en œuvre, en fin de compte, nécessite une prise de décision conjointe et des investissements coordonnés entre les organisations pour payer.
Validation
La validation est le travail continu de surveillance de la mise en œuvre des politiques.
Pour s’assurer que la cybersécurité n’est pas seulement « papier mince », il est important que les personnes responsables de la validation de la mise en œuvre des politiques ne se contentent pas de cocher une case sur un formulaire, en auto-évaluant la conformité. Ils doivent plutôt être en mesure de démontrer la conformité en générant des rapports qui reflètent le statut en temps réel de tous les actifs informatiques sous gestion. En d’autres termes, les équipes doivent valider la conformité avec les données matérielles des outils de sécurité, plutôt que les assurances par le bouche-à-oreille des collègues.
Une surveillance et un reporting complets et en temps réel donnent à toutes les parties prenantes une vue claire des forces et faiblesses actuelles de toute stratégie globale. Et si les rapports finissent par montrer que des investissements supplémentaires sont nécessaires, la nature factuelle et numérique des rapports sera plus convaincante que les auto-évaluations ou les remarques générales.
En savoir plus
Dans les semaines à venir, nous publierons d’autres articles de blog sur les avantages de l’adoption d’une stratégie à l’échelle de l’État. Dans nos prochains messages, nous examinerons de plus près chacune des trois pratiques – gouvernance, mise en œuvre et validation – requises pour mettre en œuvre une stratégie de cybersécurité à l’échelle de l’État.
Si vous souhaitez savoir comment la plateforme Tanium peut aider votre organisation à adopter une stratégie de cybersécurité plus mature, veuillez nous contacter.
