Lorsque le président Biden a émis un décret sur la cybersécurité ce printemps, cherchant à renforcer la sécurité des logiciels à la suite de l’attaque massive de SolarWinds, il a proposé ce que beaucoup dans le secteur technologique avaient tant redouté et espéré : un comité d’examen fédéral de cyberforensique.
Modélisé sur le National Transportation Safety Board (NTSB), qui enquête sur les accidents de l’aviation et des autoroutes, le National Cybersecurity Safety Board (NCSB) proposé se pencherait sur des piratages criminels importants contre les entreprises, les infrastructures et les agences fédérales américaines.
Mais tout le monde n’est pas à bord, déclare Scott Shackelford, un érudit en droit qui dirige un programme sur la cybersécurité et la gouvernance d’Internet à l’Université de l’Indiana et qui a pris la parole lors de la conférence Black Hat de cette semaine sur les défis à venir. Parmi eux : l’industrie privée est réticente à partager des informations exclusives. Les régulateurs avertissent des conflits d’intérêts potentiels au sein d’un conseil d’administration qui inclut des leaders du secteur. Et les défenseurs de la confidentialité s’inquiètent du partage des données personnelles.
Lors d’une récente conversation avec Endpoint, Shackelford a discuté du fonctionnement d’un comité d’examen informatique et de la nécessité pour les DSI et les RSSI de commencer à se préparer à l’opération dès aujourd’hui.
Comment le NCSB fonctionnerait-il après un incident comme SolarWinds ?
Les violations sont désormais signalées par différents acteurs, du bureau du procureur général de l’État à la Federal Trade Commission. Nous n’avons pas d’agence ponctuelle pour cela. Idéalement, les informations sur les cyber-incidents seraient transmises à un Bureau des cyber-statistiques. En fait, la Cyberspace Solarium Commission, l’organisme intergouvernemental visant à protéger les États-Unis contre les cyberattaques, a recommandé de mettre en place ce bureau pour collecter des données sur les cyberincidents.
[Lire également : L’homme qui pourrait aider à prévenir une cyber-catastrophe]
Une fois que le NCSB a pris connaissance d’une violation, sa première étape consisterait à constituer une équipe interdisciplinaire d’enquêteurs. Ils interrogeaient les équipes de sécurité des entreprises victimes d’une violation, les fournisseurs de logiciels dont les produits étaient infectés et les analystes judiciaires qui étudiaient la violation, entre autres sources. Les enquêteurs soumettraient des informations à partir de bases de données. Une fois qu’ils ont compris ce qui s’est passé et qui était derrière, ils publiaient un rapport et faisaient des recommandations qui deviendraient ensuite des normes du secteur.
Quels sont les défis techniques, politiques et administratifs liés à la création d’un NCSB ?
Étant donné que la cybersécurité touche à tant de facettes de notre économie, il existe une résistance de la part des entreprises technologiques, des fournisseurs de logiciels et de matériel, et probablement une résistance de la part des secteurs qui ne sont pas fortement réglementés ou habitués à la réglementation. Des conflits d’intérêts potentiels peuvent survenir, en termes de personnes au conseil d’administration ou dans les équipes d’enquête. Nous vivons également à l’ère de la localisation des données. Il est possible d’établir des réseaux régionaux ou mondiaux de ces organismes, mais en même temps, il y a cette conversation beaucoup plus importante sur l’avenir dans le flux de données mondial qui rend beaucoup plus difficile de se lancer.
Les enquêtes NTSB peuvent prendre un an ou plus. Comment un NCSB pourrait-il agir suffisamment rapidement pour aider à atténuer une attaque en cours ou empêcher la suivante ?
Il s’agit d’un acte d’équilibre difficile : rassembler les gens et produire un rapport complet qui sera immédiatement utile aux praticiens et aux décideurs tout en répondant à une situation difficile en temps réel où beaucoup d’autres organisations et finalement les personnes sont toujours vulnérables. Je pourrais imaginer un résumé mensuel que le NCSB met en place pour donner un aperçu de ce qu’il trouve. Il s’agirait d’une vue d’ensemble qui va de pair avec d’autres initiatives discutées comme le signalement obligatoire de la réponse aux incidents .
Étant donné la pénurie de main-d’œuvre informatique, où le conseil trouvera-t-il des travailleurs pour doter une équipe ?
Vous aurez besoin de personnes bien informées sur les fondamentaux de la cyberinformatique et de la cybersécurité. Un modèle idéal serait de créer une opportunité de service national pour les étudiants afin qu’ils puissent obtenir leurs diplômes payés en échange de leur service, une sorte de Cyber Peace Corps. Vous pouvez facilement modifier les lois fédérales qui ont créé AmeriCorps et Peace Corps pour ajouter la cybersécurité aux autres travaux de renforcement des capacités qu’ils effectuent au niveau national et international. De nombreuses entreprises technologiques commencent également à donner à leur personnel l’opportunité de faire des mini-sabbatiques et d’aider sur des causes dignes comme elles l’ont fait pour aider à protéger la dernière élection. Cela pourrait être un modèle pour cela.
Les États pourraient-ils prendre l’initiative si le Congrès traîne les pieds en créant un conseil national ?
Rien n’empêche un État ou un ensemble régional d’États de faire quelque chose de similaire à un NCSB fédéral. Les gouverneurs pourraient mettre en place des cybercomités au niveau administratif. Pour enquêter sur un incident, ce conseil d’administration pourrait rassembler une équipe d’experts du bureau du procureur général de l’État, des forces de l’ordre locales et des organismes réglementaires de l’État. Je pense que vous obtiendriez également l’adhésion du secteur privé, qui est souvent la cible de ces attaques par rançongiciel, en particulier des entreprises impliquées dans des infrastructures critiques, telles que les services publics de gaz et d’électricité, les fournisseurs d’énergie et les sociétés d’eau.
Que doivent faire les DSI et les RSSI aujourd’hui pour se préparer à travailler avec un comité d’examen informatique national ou national ?
Commencez à vous assurer que votre organisation répond déjà à quelque chose comme les contrôles CIS du SANS Institute et le cadre de cybersécurité du NIST. Les DSI doivent disposer d’équipes et de processus pour le signalement de la réponse aux incidents afin d’aider le cyber conseil à enquêter sur une violation. Franchement, je pense qu’ils devraient prendre ces initiatives juste pour être de bons citoyens. Les DSI et les RSSI doivent également commencer à demander à leurs experts en sécurité internes s’ils souhaitent siéger à un comité d’examen. Ces rôles de conseil d’administration seront une excellente opportunité pour vos propres experts d’apprendre ce qui se passe dans d’autres secteurs et de ramener ces connaissances à votre organisation, ce qui vous rend plus fort et plus sûr.
