Résumé
Les attaques Ransomware touchent les grandes agences fédérales ainsi que les collectivités locales et les États aux ressources limitées. L'automne dernier, les autorités fédérales ont déployé un milliard de dollars sous forme de subventions en cybersécurité. Comment les États s'y préparent-ils ?
Dans ce premier épisode, enregistré en 2022, nous présentons un plan en cinq étapes pour optimiser la collecte de fonds — une approche tout aussi pertinente aujourd'hui qu'à l'époque.
ANIMATEUR : Doug Thompson, directeur des solutions techniques et architecte en chef de la formation chez Tanium
INVITÉ : David Rand, journaliste spécialisé en affaires et technologies
Notes de l'épisode
Découvrez ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber.
- Les RSSI des États aux autorités fédérales : montrez-nous les fonds
- 5 stratégies que les DSI des collectivités territoriales peuvent mettre en œuvre pour transformer leurs effectifs
- Les agences gouvernementales rattrapent leur retard en matière de cybersécurité
Transcript
L'entretien suivant a été modifié pour plus de clarté.
David Rand : Les attaques Ransomware contre les organismes gouvernementaux, en particulier les villes et les comtés, [ont été] totalement hors de contrôle… On a recensé 79 attaques Ransomware contre des organisations gouvernementales américaines en 2020, représentant près de 19 milliards de dollars en coûts d'interruption de service et de reprise d'activité. Il ne s'agit donc pas de sommes négligeables.
Doug Thompson: Bonjour, je suis Doug Thompson, et aujourd'hui dans Let's Converge, nous parlons des cyberattaques contre les gouvernements des États et des collectivités locales.
Nous allons aborder un aspect évident et un autre qui l'est moins. Premièrement, le constat évident : les attaques Ransomware sont en hausse, tant pour les organismes gouvernementaux que pour les entreprises privées.
Ce qui est moins évident dans les attaques contre les gouvernements, ce sont les cibles elles-mêmes. Il ne s'agit pas uniquement des grandes agences fédérales aux budgets conséquents. Ces derniers mois, nous avons constaté des cyberattaques à Quincy, dans l'Illinois ; dans le comté de Somerset, au New Jersey ; et à Bernalillo, au Nouveau-Mexique. Vous aurez peut-être besoin de consulter Google Maps pour trouver certains de ces endroits, mais comme David Rand l'expliquera, leur taille modeste n'en fait pas des cibles moins vulnérables.
David est journaliste spécialisé en entreprise et technologie, et il contribue au nouveau magazine en ligne de Tanium, qui offre aux entreprises et aux leaders technologiques les dernières analyses sur les défis cyber les plus complexes d'aujourd'hui. Dave a mené une analyse approfondie sur ce sujet, en échangeant avec des responsables informatiques des États et des collectivités locales. Ces équipes manquent de personnel et de ressources. Le gouvernement fédéral prévoit donc de débloquer 1 milliard de dollars en subventions cybernétiques pour les États cette année. Mais comment les DSI et les RSSI des États devraient-ils se préparer ? Quelles sont leurs priorités ?
Bienvenue dans le podcast, Dave. Nous avons beaucoup de sujets à aborder, mais commençons par un constat : le Ransomware n'est pas près de disparaître, n'est-ce pas ?
Rand: Merci de me recevoir, Doug. Et oui, le Ransomware est un sujet majeur. Les attaques par Ransomware contre les organismes gouvernementaux, en particulier les villes et les comtés, sont complètement hors de contrôle en ce moment.
Chaque mois de cette année [2022], on recense au moins un exemple d'une ville, d'un comté ou d'un gouvernement d'État américain victime d'une attaque par Ransomware. J'ai vu des statistiques suggérant que la rançon moyenne payée dans ce type d'attaques est d'environ $925 000, soit une hausse de 71% par rapport à l'année dernière. J'ai également vu une statistique indiquant qu'il y a eu 79 attaques de Ransomware contre des organisations gouvernementales américaines en 2020, représentant près de $19 milliards en coûts d'interruption de service et de reprise d'activité. Il ne s'agit donc pas de sommes négligeables.
Thompson: Je pense que trop souvent, les gens considèrent la cyberassurance comme une panacée — pas tout le monde, mais lorsque j'échange avec des personnes, elles me disent qu'elles ont une cyberassurance, ce qui les amène à relâcher leur vigilance sur le sujet. Je préfère stopper ou bloquer le plus grand nombre de ces menaces possible, plutôt que de simplement compter sur l'assurance.
Rand: Oui, c'est un sujet sur lequel vous me verrez sans doute écrire prochainement. La cyberassurance n'a pas couvert tout ce que les agences gouvernementales, ou les entreprises d'ailleurs, ont besoin de couvrir, et elle tend à disparaître car son coût devient exorbitant.
Mais le problème pour les agences gouvernementales est que la plupart fonctionnent avec des budgets limités. Elles n'investissent donc pas dans des solutions de sécurité de premier ordre. Ce n'est pas une démarche qu'elles adoptent en général, même lorsqu'elles en ont réellement besoin.
En réalité, il est plus courant que les responsables des achats publics optent par défaut pour du matériel et des logiciels suffisamment performants, plutôt que pour des solutions de pointe qui offriraient davantage de fonctionnalités de sécurité. Il n'est même pas rare que les agences gouvernementales utilisent encore aujourd'hui des endpoint et des systèmes d'exploitation obsolètes datant de quatre, cinq, six ans ou plus, à une époque où les rôles en matière de cybersécurité étaient très différents.
Mais certains États examinent la situation de près ; ils souhaitent la faire évoluer et cherchent des moyens d'aider leurs collectivités locales à atteindre un niveau de compétence plus élevé en matière de cybersécurité.
Thompson: Je rencontre souvent ce problème dans le secteur de l'éducation, où ces petites structures K-12s ne disposent pas de budget. Comment font-elles pour se débrouiller seules ? Car dans les plus petites d'entre elles, c'est parfois le garde-champêtre ou le concierge qui fait aussi office de responsable informatique.
Rand: Oui, c'est tout à fait exact. Cela varie en fonction de la taille de la municipalité, de l'agence, ou même dans les territoires tribaux. Parfois, ils n'ont même pas de personnel informatique, comme vous le soulignez. Parfois, ils en ont un, mais même lorsqu'ils disposent d'un responsable informatique avec quelques compétences techniques, ils n'ont pas les moyens nécessaires pour opérer un changement significatif.
Il ne serait donc pas surprenant de trouver, dans un bureau municipal ou dans le bureau d'un directeur de ville, un ordinateur sous Windows Vista posé sur son bureau.
Thompson: Oui. [Rires.] J'étais chez Microsoft quand Vista est sorti. Une fois qu'on est arrivé à SP1, ce n'était plus si terrible.
Rand: [Rires.] J'étais aussi chez Microsoft pour Windows Vista, donc je crois qu'on sait très bien de quoi il s'agit.
Thompson: Vous n'étiez clairement pas à Philly avec moi lors du lancement. C'était en pleine nuit en février, par des températures négatives et… bref, c'est toute une autre vie que nous [Rires.] avons vécue.
Mais vous parlez de financement, et j'entends souvent dire que les autorités fédérales ont compris qu'il fallait agir. Je sais que des financements sont en cours — et vous avez eu une conversation intéressante avec un CISO d'État l'autre jour, n'est-ce pas ?
Rand: Tout à fait. C'était Ryan Murray, quelqu'un de formidable.
Ainsi, de nombreux États cherchent à aider les gouvernements locaux à atteindre des niveaux de compétence plus élevés en matière de cybersécurité. L'État de l'Arizona est l'un d'entre eux et, comme beaucoup d'États, il a eu du mal à trouver les financements nécessaires pour sécuriser les opérations gouvernementales dans ses communautés rurales et ses zones touristiques.
Il y a trois ans, ils ont donc entrepris de moderniser des systèmes informatiques obsolètes en combinant des subventions fédérales et des contributions budgétaires de l'État. Il ne s'agit donc pas d'une problématique qui vient d'émerger cette année.
Plus récemment, ils ont toutefois décidé de solliciter une partie du milliard de dollars de subventions en matière de cybersécurité prévu dans le projet de loi sur l'infrastructure de Biden, adopté en novembre dernier. À elle seule, cette somme ne sera pas suffisante, mais l'Arizona a été particulièrement proactif dans la recherche de ce type de subventions. En réalité, ils sollicitent des fonds partout où c'est possible. Ils vont même jusqu'à s'associer avec d'autres États pour mutualiser les ressources, dans l'optique d'avoir un impact à l'échelle régionale. Ryan Murray, le RSSI de l'Arizona, m'a confié qu'il est optimiste quant à leur capacité à renforcer la posture de sécurité de l'État au fil du temps.
Thompson: Les budgets informatiques — et les budgets en général, je crois — sont ainsi faits : on prend ce qu'on peut obtenir, on l'utilise, et on espère que cela servira de tremplin pour passer à l'étape suivante. Surtout en matière de cybersécurité. Car vous avez raison : il n'est pas rare de trouver des équipements très anciens, dépassés et vulnérables dans ces environnements. En tant que contribuable, j'apprécie que mon État évite le gaspillage et fasse preuve de rigueur dans l'utilisation des fonds publics.
Mais je pense qu'un travail de sensibilisation s'impose, 1) auprès des législateurs et 2) auprès des contribuables, pour leur expliquer : voilà pourquoi nous en avons besoin et voilà ce que cela va apporter.
Rand: Vous avez tout à fait raison. Ryan Murray m'a dit que c'est un processus de sensibilisation permanent, n'est-ce pas ? Travailler avec les législateurs, travailler avec le gouverneur, en essayant d'expliquer la situation — voici ce qu'est le Ransomware, par exemple, voici le coût potentiel, voici ce que cela pourrait faire aux opérations, voici ce que cela pourrait faire pour l'image publique.
En Arizona, le gouverneur Ducey semble comprendre la situation, et il existe une partie du budget de l'État consacrée à la sécurité informatique. Murray m'indique qu'il a été un partenaire de choix dans la recherche de financements, où qu'ils puissent exister.
Thompson : Qu'est-ce qui l'a amené à prendre conscience de cela ou à adopter cette approche ? Car, vous savez, vous avez parlé à beaucoup de personnes ou en avez rencontré beaucoup, et certaines n'ont pas encore tout à fait saisi ce message.
Rand : Je ne suis pas vraiment sûr, à vrai dire. Je pense que chaque CISO, à un niveau ou à un autre, sait qu'il s'agit d'un problème. Ce n'est une surprise pour personne — comme je l'ai mentionné, le Ransomware est hors de contrôle. La situation ne s'améliore pas lorsque vous êtes dans un État comme l'Arizona où 80% de l'État se trouve dans des zones rurales. Ils peinent non seulement avec la bande passante et la connectivité Wi-Fi, mais aussi à mettre en place une cybersécurité de base, notamment l'authentification multifacteur — en appliquant les bonnes pratiques dans ce domaine et en éloignant les utilisateurs des mots de passe.
Pour un professionnel de la sécurité, il n'est pas surprenant que ces mesures soient nécessaires. Les législateurs, en revanche, peuvent parfois être surpris, car ils n'ont pas toujours une conscience claire de l'obsolescence de leurs systèmes ni du retard accumulé. Et, comme je l'ai mentionné, la tendance au fil du temps a été de viser une sécurité « suffisante » plutôt qu'une sécurité de premier ordre.
Aujourd'hui, face à des hackers d'un niveau de sophistication élevé, le « suffisant » ne suffit plus.
Thompson: Vous avez également écrit sur la nécessité de l'hygiène cyber dans ce contexte, car il arrive que l'on confie les clés d'une Ferrari à quelqu'un sans lui apprendre à conduire. Constatez-vous que les acteurs commencent à comprendre ce besoin, de sorte que lorsqu'ils accordent des financements pour le haut débit, ils prévoient également des financements supplémentaires et récurrents pour des sujets tels que l'hygiène cyber et la sécurité informatique ?
Rand: Je pense que c'est un processus de sensibilisation permanent pour les équipes de sécurité informatique et les RSSI, qui doivent sans cesse rappeler l'importance d'intégrer la sécurité dans tout projet technologique.
Dès le départ — j'évolue dans les hautes technologies depuis très longtemps, plus longtemps que je ne voudrais l'admettre — et même dans ces secteurs, la sécurité peut être reléguée au second plan. Elle peut se réduire à une simple case à cocher. Vous développez un produit, vous avancez dans le projet, et c'est seulement à la toute fin que vous vous demandez comment le sécuriser. Parce que l'enthousiasme pour le produit prend le dessus, et c'est tout simplement la nature humaine. Et je pense que c'est ce qui se passe au niveau des États.
Et pour aller dans votre sens, que vous envisagiez une transformation numérique, un déploiement du haut débit, ou simplement une mise à niveau de votre infrastructure informatique à l'échelle locale, la sécurité doit être intégrée à votre stratégie et à votre plan dès le départ.
Thompson: Vous avez mentionné que vous étiez aussi chez Microsoft, et il y a eu un moment où nous nous sommes dit : maintenant, nous devons placer la sécurité en priorité absolue dans le développement des produits. Et on voit le résultat — il y a encore des failles ! Mais c'est simplement la nature du logiciel, au moment de son développement. Ces problèmes existeront toujours, et les personnes mal intentionnées sont plus à même de les découvrir une fois les produits déployés que nous ne le sommes.
Vous avez évoqué le financement fédéral, nous en avons parlé. Mais nous savons bien que chaque fois que le gouvernement fédéral propose des financements, des obstacles et des conditions sont généralement associés.
Rand: Bien sûr. Dans l'article que je viens de rédiger, voici comment ce financement en matière de cybersécurité s'inscrit dans le cadre du projet de loi sur l'infrastructure : un milliard de dollars est réservé et doit être réparti entre 50 États. Tous les États n'y adhéreront pas forcément, mais imaginez 50 États se partager seulement 1 milliard de dollars pour la cybersécurité. Ce n'est pas une somme considérable. Mais c'est déjà quelque chose, n'est-ce pas ?
Et au cours des quatre prochaines années environ, cette somme sera distribuée par tranches. Ainsi, $200 millions seront disponibles cette année [2022], $400 millions en 2023, $300 millions en 2024, et $100 millions supplémentaires en 2025. Les règles exigent qu'au moins 80% des fonds de subvention soient acheminés vers les collectivités locales sur cette période. Les États pourront donc solliciter ces financements, mais ils devront les redistribuer aux villes, aux comtés et aux territoires tribaux.
Autrement dit, les États doivent abonder les subventions avec leurs propres fonds, ce qui implique un engagement de leur part. Le gouverneur doit être impliqué ; cela doit faire partie du budget.
Les États doivent donc contribuer à hauteur de 10% la première année, et ce pourcentage augmentera de 10 points de pourcentage chaque année jusqu'en 2025. Dans ce cadre, ils doivent également présenter un plan de cybersécurité. Ils doivent soumettre ce plan pour obtenir ces fonds, et celui-ci doit préciser la façon dont l'argent sera distribué et utilisé. Ils doivent disposer des structures nécessaires pour y parvenir.
Thompson : D'accord, Dave, expliquez-moi cela simplement : je suis DSI ou RSSI d'un État. Que dois-je faire maintenant pour obtenir ces fonds ? Quelles sont les étapes à suivre ?
Rand : Il y a vraiment cinq choses que les États pourraient ou devraient faire — c'est ce que mes sources m'indiquent.
Tout d'abord, reprenez ce plan de cybersécurité. Vous en avez peut-être un, mais il doit être adapté à ce que vous allez faire avec ce financement du projet de loi sur les infrastructures. Il doit préciser avec les États, ou comment les États vont renforcer la sécurité dans les collectivités locales et les zones tribales.
Deuxièmement, dialoguez avec les acteurs locaux. Les RSSI doivent collaborer avec les agences locales, non seulement pour déterminer ce qu'ils feront en matière d'outils ou d'appareils endpoint, mais aussi pour envisager des actions telles que le renforcement du soutien à la formation ou le recours à des prestataires de services de sécurité gérés [MSSPs] pour mettre en œuvre des améliorations en matière de cybersécurité. C'est d'ailleurs l'une des pistes qu'envisage Ryan Murray en Arizona, à savoir faire appel à des MSSPs pour obtenir de l'aide.
Car toutes les collectivités, comme vous le soulignez, ne disposent pas de personnel en interne. Il est possible que le personnel de maintenance ne soit pas en mesure de mettre en place une infrastructure de sécurité zero trust. Le recours à des MSSPs serait donc une décision judicieuse.
Troisièmement, sensibilisez les autres parties prenantes gouvernementales. Comme vous le soulignez, Doug, les gouverneurs, les législateurs des États et les administrateurs doivent comprendre l'importance de la cybersécurité pour prévenir les cyberattaques telles que les Ransomware. Ils doivent mettre à niveau leur infrastructure informatique et leur infrastructure de sécurité dans les plus brefs délais. En les associant à ces efforts, il est possible d'augmenter les fonds disponibles au fil du temps.
En Arizona, par exemple, le budget du gouverneur Ducey prévoit $10 millions pour aider les collectivités locales et les districts scolaires de la maternelle à la terminale à renforcer leur posture de sécurité.
Le quatrième point à considérer est de ne pas se limiter ; il faut voir les choses en grand. Ne vous contentez pas d'examiner les fonds issus de ce projet de loi sur les infrastructures en pensant que le montant est trop faible pour justifier des démarches.
Il est naturel de penser que c'est beaucoup de travail sur quatre ans pour une somme modeste. Cependant, les États ont accès à de nombreux programmes de financement fédéraux, qui se multiplient en permanence. Le département de la Sécurité intérieure, par exemple, a récemment annoncé $1,6 milliards de subventions pour la préparation à la lutte contre le terrorisme, avec un volet dédié au financement de la cybersécurité. L'Arizona s'inscrit également dans cette démarche.
Le dernier point que je souhaite mentionner, et qui m'a surpris, est la possibilité de nouer des partenariats avec d'autres États. Donc, si la CISA ne l'interdit pas—et rien ne laisse penser qu'elle le ferait, mais tant qu'elle ne le fait pas, les États peuvent s'associer pour partager le temps, les ressources financières et les moyens dans la lutte contre la cybercriminalité à l'échelle régionale plutôt qu'au sein de leurs propres États. Si j'ai bien compris, je crois que l'Arizona est en discussion avec des responsables gouvernementaux du Texas et du Nouveau-Mexique pour faire exactement cela.
Thompson: Quelles sont vos dernières réflexions sur ce sujet ? Quelque chose vous vient à l'esprit ?
Rand: Les États disposent de nombreuses opportunités pour obtenir des financements fédéraux, et ils devraient en profiter. Ils doivent s'impliquer de manière active, ne pas bouder cette chance, et envisager les choses dans une perspective plus large. Encore une fois, collaborez avec vos collègues de la législature de l'État, collaborez avec votre gouverneur. Envisagez des partenariats avec d'autres États. Adoptez une vision régionale.
Jennifer Pittman-Leeper, responsable de l'engagement client chez Tanium, a déclaré que ce financement n'est pas une baguette magique, mais constitue un point de départ, et que les agences gouvernementales doivent bien commencer quelque part. Il est judicieux de commencer par ce financement lié au projet de loi sur les infrastructures si vous n'avez pas encore exploré ce type de programmes.
Thompson: Merci Dave, pour le partage de ces informations essentielles et opportunes.
Je me suis entretenu avec le journaliste primé David Rand, qui écrit pour le nouveau magazine en ligne de cybersécurité de Tanium. Vous pouvez consulter ces articles sur Tanium.com.
Si vous êtes DSI ou RSSI d'un État et que vous souhaitez en savoir plus sur la façon d'obtenir ces fonds fédéraux ou d'améliorer votre hygiène cyber, consultez les liens dans les notes du podcast. Pour découvrir d'autres témoignages de ce type, abonnez-vous à Let's Converge sur votre application de podcast favorite, telle qu'Apple Podcast ou Spotify.
Merci de votre écoute, et nous avons hâte de partager de nouvelles perspectives cyber dans le prochain épisode de Let's Converge.
