Le président Joe Biden a dû faire face à de nombreuses crises depuis son entrée en fonction en janvier 2021, mais son administration a néanmoins réussi à se placer à l’avant-garde de la réponse américaine aux cyberattaques menées par des groupes criminels et des hackers liés à des États-nations.
Même avant l’arrivée de Biden à la Maison-Blanche, les États-Unis étaient confrontés à des menaces telles que l’attaque contre SolarWinds et à des acteurs malveillants liés à la Russie et à la Chine. Après que le piratage de Colonial Pipeline a failli paralyser l’est des États-Unis, Biden et les agences fédérales chargées de la sécurité sont immédiatement passés à l’action en publiant des recommandations, des mises en garde et, dans le cas des agences fédérales, des directives visant à renforcer les défenses de cybersécurité.
La dernière initiative remonte à hier, lorsque Biden a averti que « les services de renseignement constatent une évolution indiquant que le gouvernement russe étudie des options pour mener d’éventuelles cyberattaques ».
Justin Fier, vice-président chargé des risques tactiques et de la réponse chez Darktrace, a qualifié cette mise en garde d’« inédite ».
Selon Fier, la déclaration de Biden « marque une volonté de lutter contre la désinformation en divulguant délibérément des renseignements que l’administration aurait auparavant considérés comme classifiés. Ces mises en garde sont inédites : les administrations précédentes n’avaient jamais confirmé publiquement, dans une telle mesure, que des cyberattaques étaient imminentes.
« La cyberguerre n’oppose pas des militaires à d’autres militaires ; toutes les organisations, dans les secteurs public comme privé, devront se défendre contre les attaques, a-t-il déclaré. Les organisations doivent tirer parti de cet accès inédit aux renseignements gouvernementaux sur les menaces et tenir compte de ces mises en garde. Les entreprises doivent lire attentivement les alertes de la Cybersecurity and Infrastructure Security Agency (CISA), en prêtant une attention particulière à celles publiées au cours des 12 dernières semaines. Elles doivent également tester régulièrement leurs défenses et organiser des exercices sur table avec leurs différentes équipes informatiques. »
À lire également : SANS présente les mesures essentielles de sécurisation des infrastructures critiques alors que la Russie et les États-Unis échangent des menaces cyber
Le signalement obligatoire des incidents prendra du temps
La semaine dernière, Biden a signé une loi de financement du gouvernement de 1,5 billion de dollars qui comprenait également une disposition imposant le signalement des cyberincidents.
Le Consolidated Appropriations Act (CAA) rend obligatoire le signalement des cyberincidents dans le cadre du Strengthening American Cybersecurity Act, qui impose aux propriétaires d’infrastructures nationales critiques (CNI) de signaler rapidement les cyberincidents et les paiements en rançongiciels à la Cybersecurity and Infrastructure Security Agency (CISA) du Department of Homeland Security.
La loi impose aux opérateurs d’infrastructures critiques de communiquer aux agences fédérales les informations relatives aux compromissions dans un délai de 72 heures, les informations sur les paiements en rançongiciels dans un délai de 24 heures, de moderniser leurs systèmes pour se conformer à de meilleures normes de cybersécurité et d’établir des normes de sécurité pour les logiciels.
Si une entité concernée ne respecte pas les exigences, une assignation à comparaître, une injonction ou une alerte d’inspection, le DHS peut engager une action civile devant un tribunal de district afin d’imposer la mise en conformité. Si le département ne reçoit pas de réponse dans les 72 heures, le secrétaire peut émettre une assignation à comparaître pour contraindre l’entité à divulguer les informations demandées.
Cependant, la mise en œuvre complète de la loi pourrait prendre quelques années. La CISA doit publier un avis de projet de réglementation (NPRM) dans les 24 mois, puis promulguer la règle définitive dans les 18 mois suivants.
Dans le cadre de la nouvelle loi, la CISA créera un programme d’alerte sur les vulnérabilités liées aux rançongiciels afin d’identifier les systèmes présentant des failles de sécurité. Le signalement régulier fera également partie des nouvelles dispositions.
« La CISA utilisera ces signalements transmis par ses partenaires du secteur privé pour établir une compréhension commune de la manière dont nos adversaires ciblent les réseaux et les infrastructures critiques américains, a déclaré sa directrice Jen Easterly dans un communiqué. Ces informations combleront d’importantes lacunes et nous permettront de déployer rapidement des ressources et de venir en aide aux victimes d’attaques, d’analyser les signalements reçus dans les différents secteurs afin de repérer les tendances et de partager rapidement ces informations avec les défenseurs des réseaux pour avertir d’autres victimes potentielles. La CISA s’engage à travailler de manière collaborative et transparente avec ses partenaires industriels et les agences du gouvernement fédéral afin de renforcer la sécurité et la résilience des réseaux et des infrastructures critiques de notre pays. »
« En termes simples, cette législation change complètement la donne. Aujourd’hui marque une étape cruciale dans le renforcement collectif de la cybersécurité de notre pays. »
À lire également :