Les cyberattaques visant les administrations des États et les collectivités locales américaines ont considérablement augmenté ces dernières années. Environ 44 % des attaques par rançongiciel dans le monde visent désormais les collectivités locales. Un ransomware a touché au moins 2 354 administrations publiques, (s'ouvre dans un nouvel onglet) des établissements de santé et des établissements scolaires, rien que dans 2020 pays. Trop souvent, ces attaques aboutissent parce que les collectivités locales, les établissements scolaires de la maternelle à la terminale et d'autres petits organismes publics ne disposent pas du personnel, des outils et de l'expertise nécessaires pour se défendre de manière adéquate.
Qu'est-ce qu'une stratégie de cybersécurité à l'échelle de l'État ?
Afin d'aider les communes et autres collectivités locales à se prémunir contre ces attaques, certains gouvernements régionaux adoptent désormais une approche globale de la cybersécurité à l'échelle de la région. Dans le cadre d'une stratégie à l'échelle de l'État mise en œuvre au niveau régional, le gouvernement régional collabore avec les collectivités locales de plus petite taille afin de garantir que chacun soit protégé contre les menaces. Dans le cadre de cette collaboration, les gouvernements des États mettent à la disposition des communes et d'autres organismes locaux des formations, des renseignements sur les menaces, des outils et d'autres ressources afin de renforcer les cyberdéfenses.
Examinons les facteurs qui sous-tendent cette nouvelle approche de la cybersécurité, ainsi que les trois éléments clés — la gouvernance, la mise en œuvre et la validation — qui sont indispensables à son bon fonctionnement.
Regardez cette interview vidéo de la rubrique « To the Point », dans laquelle Jennifer Pittman-Leeper explique en quoi consiste une stratégie de cybersécurité à l'échelle de l'État et comment s'y prendre pour la mettre en place.
https://youtu.be/BOEF82h1r44
Un besoin urgent d'améliorer les pratiques de cybersécurité
Les chiffres varient d'une enquête à l'autre, mais il apparaît clairement qu'un nombre disproportionné d'attaques par ransomware et d'autres types d'attaques visent les collectivités territoriales et les administrations locales.
Pourquoi cibler ces organisations ? Certaines de ces attaques sont probablement aléatoires : elles résultent d'une stratégie de ciblage dite « à l'aveuglette » adoptée par les pirates, qui touchent par hasard des administrations régionales et locales.
Dans d'autres cas, les pirates pourraient cibler ces organismes parce qu'ils soupçonnent qu'ils disposent de polices d'assurance contre les cyberattaques qui couvriront le paiement des rançons et les frais de remise en état nécessaires. Il y a une part de vérité là-dedans. En effet, lorsque les victimes de ransomware décident de payer, les collectivités publiques régionales et locales finissent par débourser 10 fois plus que les entreprises privées. (s'ouvre dans un nouvel onglet)
Les pirates pourraient également cibler les communes et d'autres petites administrations, car ils savent que les dispositifs de cybersécurité sont moins efficaces aux niveaux régional et local. La plupart des États ne consacrent que 1-2 % de leur budget informatique à la cybersécurité (s'ouvre dans un nouvel onglet), tandis que les agences fédérales et les entreprises privées y consacrent 5-20 %.
Enfin, de nombreux services des collectivités locales sont considérés comme essentiels, ce qui incite fortement les responsables politiques à payer les rançons et à résoudre rapidement une attaque. Par exemple, lorsqu'une attaque par ransomware a paralysé les services municipaux de la ville de Baltimore en 2019, , les répercussions sur la ville ont été considérables et coûteuses (s'ouvre dans un nouvel onglet). Les transferts de propriété, par exemple, n'ont pas pu être traités, ce qui a freiné le marché immobilier. Les citoyens se sont retrouvés dans l'impossibilité d'accéder aux sites Internet qu'ils utilisaient pour régler leurs factures d'eau, leurs impôts fonciers et leurs amendes de stationnement. La remise en état suite à cette attaque a pris des mois et a finalement coûté à la ville au moins 18,2 millions de dollars .
Au vu d'exemples édifiants comme celui-ci, il n'est pas surprenant que d'autres collectivités locales et organismes publics souhaitent éviter d'être victimes de rançongiciels ou d'autres types de cyberattaques.
Les gouvernements des États se rendent compte qu'ils peuvent apporter leur aide. Conscientes que les municipalités et autres collectivités locales manquent de personnel et de moyens financiers, certaines administrations régionales adoptent une stratégie à l'échelle de l'État, en mettant en commun leurs ressources et en partageant leurs informations afin de protéger les organismes publics, du niveau municipal jusqu'au niveau régional.
« Les gouvernements des États fournissent de plus en plus de services aux collectivités locales et aux communes, notamment en matière de protection des terminaux, d’accords de services partagés pour les outils de cyberdéfense, de réponse aux incidents, ainsi que de sensibilisation et de formation à la cybersécurité à l’échelle de l’État », ont écrit l’Association nationale des gouverneurs (NGA) et l’Association nationale des directeurs des systèmes d’information des États (NASCIO) dans leur rapport n° 2020 , intitulé « Stronger Together: State and Local Cybersecurity Collaboration » (L’État et les collectivités locales : plus forts ensemble – Collaboration en matière de cybersécurité) (s’ouvre dans un nouvel onglet). Depuis lors, ce mouvement n'a cessé de prendre de l'ampleur.
« Les gouvernements des États fournissent de plus en plus de services aux collectivités locales et aux communes, notamment en matière de protection des terminaux, d’accords de services partagés pour les outils de cyberdéfense, de gestion des incidents, ainsi que de sensibilisation et de formation à la cybersécurité à l’échelle de l’État. »
Les éléments constitutifs d'une stratégie de cybersécurité à l'échelle de l'État
Une stratégie de cybersécurité à l'échelle de l'État repose sur trois axes qui s'articulent entre eux. Vous pouvez les considérer comme les pieds d'un tabouret. Ces trois éléments sont indispensables pour que la stratégie fonctionne.
Ces trois pratiques sont les suivantes :
- Gouvernance et élaboration des politiques
- Mise en œuvre
- Validation
Examinons chacun de ces points tour à tour.
Gouvernance et élaboration des politiques
Les bons responsables informatiques s'appuieront sur des politiques et des référentiels établis, tels que ceux de l' , le CIS (s'ouvre dans un nouvel onglet),, ou , le NIST (s'ouvre dans un nouvel onglet),et , afin de jeter les bases d'un programme de cybersécurité solide. Ces cadres aident les organisations à établir des normes en matière de bonnes pratiques de cybersécurité, à déterminer des seuils de risque acceptables et à définir des politiques pouvant être mises en œuvre au fil du temps afin de respecter ces normes et de faire face à ces risques.
Dans de nombreux États, ce sont des consultants, tels que les intégrateurs de systèmes internationaux, qui ont mené une grande partie de ce travail sur les politiques. Plus récemment, certains États ont décidé d'internaliser cette mission au sein de leur ministère de la Sécurité intérieure ou d'un organisme similaire.
En général, il est judicieux de distinguer l'élaboration des politiques de leur mise en œuvre. De cette manière, les politiques peuvent être mûrement réfléchies et élaborées en s'appuyant sur les meilleures pratiques à l'échelle du secteur, plutôt que d'être conçues pour s'adapter aux outils, pratiques (et habitudes) existants d'une équipe informatique particulière.
Mise en œuvre
Il s'agit de la phase « d'action » d'une stratégie à l'échelle de l'État. Au cours de cette phase, les ingénieurs et responsables informatiques assurent la mise en œuvre des politiques élaborées lors de la phase de définition des politiques.
C'est également un domaine dans lequel les stratégies de cybersécurité échouent souvent. En effet, sans une coordination suffisante entre l'équipe chargée de l'élaboration des politiques et celle chargée de leur mise en œuvre, ces politiques risquent d'être trop générales ou trop coûteuses à mettre en œuvre. Les politiques doivent être rigoureuses, voire audacieuses, mais elles doivent également être pragmatiques.
Pour mettre véritablement en œuvre une stratégie interinstitutionnelle à l'échelle de l'État, les administrations, les communes et les autres organismes locaux doivent harmoniser les outils et les processus qu'ils utiliseront pour mettre en œuvre les politiques.
Si une nouvelle faille de sécurité logicielle est signalée, dans quel délai l'ensemble de l'État – du gouvernement régional jusqu'aux communes – peut-il recenser l'ensemble de ses actifs informatiques afin d'identifier les terminaux qui doivent être mis à jour ? Si une agence informatique met au point une bonne pratique, dans quelle mesure cette bonne pratique peut-elle être facilement diffusée à l'échelle de l'État ? Il y a fort à parier que, si les outils ne sont pas harmonisés, le partage des connaissances et des techniques s'avérera plus difficile.
Pour que la mise en œuvre porte ses fruits, il faut, en fin de compte, un processus décisionnel conjoint et des investissements coordonnés entre les différentes organisations.
Validation
La validation consiste en un travail continu de suivi de la mise en œuvre des politiques.
Pour éviter que la cybersécurité ne soit qu’une « façade », il est important que les personnes chargées de vérifier la mise en œuvre des politiques ne se contentent pas de cocher une case sur un formulaire pour attester elles-mêmes de la conformité. Ils devraient plutôt être en mesure de prouver leur conformité en générant des rapports qui reflètent en temps réel l'état de tous les actifs informatiques gérés. En d'autres termes, les équipes devraient vérifier la conformité à l'aide de données concrètes issues d'outils de sécurité, plutôt que de se fier aux assurances données oralement par des collègues.
Un suivi et un reporting complets, en temps réel, permettent à toutes les parties prenantes d'avoir une vision claire des atouts et des faiblesses actuels de toute stratégie à l'échelle de l'État. Et si ces rapports finissent par montrer que des investissements supplémentaires sont nécessaires, leur caractère factuel et numérique sera plus convaincant que de simples déclarations sur l'honneur ou des remarques générales.
En savoir plus
Au cours des prochaines semaines, nous publierons d'autres articles de blog consacrés aux avantages de l'adoption d'une stratégie à l'échelle de l'État. Dans nos prochains articles, nous examinerons de plus près chacune des trois pratiques – gouvernance, mise en œuvre et validation – nécessaires à la mise en œuvre d'une stratégie de cybersécurité à l'échelle de l'État.
Si vous souhaitez découvrir comment la plateforme Tanium d' peut aider votre organisation à mettre en œuvre une stratégie de cybersécurité plus aboutie, n'hésitez pas à nous contacter à l'adresse ou par e-mail à.
