Ce que vous devez savoir sur le nouveau plan de mise en œuvre de la stratégie nationale de cybersécurité

C'est un fait que les rançongiciels et les violations sont devenus monnaie courante dans le paysage complexe de la cybersécurité d'aujourd'hui.

En mars 2023, l'administration Biden a publié son très attendu Stratégie nationale de cybersécurité. Tout en proposant une vision solide pour renforcer la cyberrésilience du pays, je a écrit pour The Hill à quel point j'ai été déçue par l'absence d'impact immédiat et de responsabilité du plan, en particulier par ses perspectives sur 10 ans. Le gouvernement fédéral doit agir plus rapidement pour lutter plus rapidement contre les rançongiciels et les violations de données.

Reconnaissant l'importance de fournir des stratégies de cybersécurité pratiques aux agences gouvernementales, le président Biden a récemment dévoilé le nouveau Plan de mise en œuvre de la stratégie nationale de cybersécurité (NCSIP). Le plan propose aux agences une feuille de route pour modifier la manière dont elles répartissent les rôles, les responsabilités et les ressources en matière de cybersécurité.

Voici ce que vous devez savoir sur le nouveau plan.

Les 5 piliers stratégiques du NCSIP

Le plan est organisé en 5 piliers, chacun comprenant des initiatives spécifiques en matière de cybersécurité. J'ai décrit et résumé ces piliers et leurs initiatives ci-dessous.

• Premier pilier : défendre les infrastructures critiques — Ce pilier vise à établir des exigences en matière de cybersécurité qui garantissent la sécurité nationale et la sûreté publique, en soulignant l'importance de renforcer la collaboration entre les secteurs public et privé. Il vise à intégrer les centres fédéraux de cybersécurité afin d'améliorer la coordination et le partage d'informations. En outre, il vise à mettre à jour les plans et les processus fédéraux de réponse aux incidents tout en modernisant les défenses fédérales de cybersécurité afin de garder une longueur d'avance sur l'évolution des menaces.

• Deuxième pilier : perturber et démanteler les acteurs de la menace — Ce pilier vise à intégrer les efforts fédéraux visant à perturber les activités cybercriminelles et à améliorer la collaboration entre les secteurs public et privé afin de contrecarrer les adversaires. Le pilier met l'accent sur l'importance d'un partage rapide et approfondi des renseignements et de la notification des victimes de cyberattaques. Il vise également à prévenir l'utilisation abusive des infrastructures basées aux États-Unis et à lutter contre la cybercriminalité, en particulier en ciblant attaques de ransomware.
• Troisième pilier : façonner les forces du marché pour renforcer la sécurité et la résilience — Ce pilier vise à favoriser le développement d'appareils sécurisés pour l'Internet des objets (IoT), en mettant l'accent sur la nécessité de transférer la responsabilité des produits et services logiciels non sécurisés afin d'encourager la responsabilité des fabricants et des fournisseurs. Il propose d'utiliser les subventions et les incitations fédérales pour donner la priorité aux mesures de sécurité. En outre, il suggère de tirer parti des achats fédéraux pour améliorer la responsabilité et promouvoir les pratiques de cybersécurité. L'étude de la possibilité d'un filet de sécurité fédéral en matière de cyberassurance est également mentionnée, qui fournirait une assistance en cas de cyberincident majeur.
• Quatrième pilier : investir dans un avenir résilient — Ce pilier comprend des efforts visant à renforcer les éléments fondamentaux d'Internet, en commençant par mettre l'accent sur la revitalisation de la recherche et du développement fédéraux en matière de cybersécurité. Il souligne également l'importance de se préparer aux défis d'un avenir post-quantique et de garantir la sécurité du secteur de l'énergie propre. En outre, il met l'accent sur l'élaboration d'une stratégie nationale visant à renforcer le personnel de cybersécurité, reconnaissant son importance pour faire face aux menaces futures.
• Pilier 5 : Forger des partenariats internationaux pour atteindre des objectifs communs — Ce pilier implique la création de coalitions internationales pour faire face aux menaces qui pèsent sur notre écosystème numérique. Cela met l'accent sur le renforcement des capacités des partenaires internationaux et sur l'expansion de la capacité des États-Unis à soutenir leurs alliés et partenaires. Il vise également à établir des coalitions qui renforcent les normes mondiales de comportement responsable des États dans le cyberespace. En outre, le pilier souligne la nécessité de sécuriser les chaînes d'approvisionnement mondiales pour les produits et services liés à l'information, aux communications et aux technologies opérationnelles.

Mes principaux points à retenir du plan en tant que directeur technique fédéral

Le principal point à retenir du NCSIP est qu'il fournit aux agences des conseils indispensables pour améliorer cyber-résilience maintenant comme à l'avenir. Cela montre que les outils de prévention et de détection traditionnels ne suffisent pas à combattre les cybermenaces complexes et en constante évolution d'aujourd'hui.

Les violations sont inévitables. Les entreprises doivent donner la priorité à des stratégies proactives de limitation des violations grâce à des technologies telles que Segmentation Zero Trust (ZTS) pour arrêter et contenir la propagation des violations au moment où elles se produisent, et non pas si elles se produisent, en veillant à ce que les opérations puissent se poursuivre sans entrave. En fait, les organisations qui tirent parti Illumio ZTS a vu un 66 pour cent réduction de l'impact (ou rayon d'explosion) d'une brèche et sauvegarde 3,8 millions de dollars grâce à la réduction des pannes et des temps d'arrêt.

Le plan attribue également des objectifs et des initiatives assortis de délais à chaque agence, en leur donnant des directives sur la manière d'atteindre les objectifs clairs de la stratégie. Ces objectifs et initiatives témoignent également d'une sentiment d'urgence ce qui est important car le rythme de la technologie ne permet pas d'imaginer l'impact qu'elle aura sur la sécurité dans trois, cinq ou dix ans.

Ce plan témoigne d'une compréhension des défis en matière de ressources et de finances auxquels les agences sont confrontées pour surmonter ces dangers. Bien que le NCSIP n'inclue pas de financement direct, il s'aligne sur les priorités de l'administration en matière de cyberbudget afin de mieux positionner les agences pour atteindre leurs objectifs et lutter contre les cyberattaques. Si les agences peuvent aligner leurs responsabilités budgétaires et leurs ressources sur ces initiatives, elles seront bien équipées pour renforcer leur cyberrésilience aujourd'hui et demain.

En particulier, les initiatives 3.5.1 et 3.5.2, qui tirent parti de l'approvisionnement fédéral pour améliorer responsabilité, constituent des avancées importantes pour les fonctions réglementaires de cybersécurité. En tirant parti de la puissance du dollar, le gouvernement est en mesure de contraindre les entreprises à se mettre en conformité. Cela permet au gouvernement fédéral de mettre en œuvre sa nouvelle stratégie rapidement et sans avoir besoin d'une nouvelle législation.

Qu'est-ce qui manque ? Mécanismes de responsabilisation et initiatives audacieuses

Comme de nombreux autres plans gouvernementaux, le principal élément qui n'est pas inclus est un mécanisme de responsabilisation. Ces plans doivent prévoir un moyen de mesurer et de responsabiliser les agences pour qu'elles réussissent. Les agences doivent connaître les conséquences de la non-réalisation de ces objectifs.

Et il nous manque encore certaines des grandes idées audacieuses qui changeraient réellement la donne en matière de lutte contre les rançongiciels. Cela pourrait ressembler à l'interdiction des paiements par rançongiciel pour empêcher les cybercriminels de tirer profit de ces attaques. Le gouvernement pourrait également obliger les organisations privées et gouvernementales à informer publiquement leurs clients dans les 72 heures suivant une violation. De telles initiatives auraient un impact immédiat sur l'arrêt des rançongiciels et répondraient à l'urgence du problème dès maintenant, et non dans quelques années ou dix ans.

Le nouveau NCSIP marque une étape importante dans les efforts collectifs du gouvernement fédéral visant à renforcer la cyberrésilience et à combattre l'évolution des menaces. Le plan montre dans l'ensemble une orientation claire pour les agences gouvernementales. En adoptant des approches proactives de limitation des violations et en s'alignant sur les initiatives du NCSIP, les organisations des secteurs public et privé peuvent naviguer dans le paysage complexe de la cybersécurité actuel et protéger efficacement leurs actifs critiques. Ensemble, nous pouvons construire un avenir numérique plus résilient et plus sûr.

En savoir plus sur la façon dont Illumio ZTS peut aider votre agence fédérale mettre en œuvre les initiatives du NCSIP.

Contactez-nous dès aujourd'hui pour contacter l'un de nos experts en cybersécurité.

‍