Lorsque la loi Modernizing Government Technology Act (MGT Act) a été promulguée en 2017, elle visait à fournir aux agences des fonds destinés à leurs efforts de modernisation informatique, notamment en matière de cybersécurité. Les agences pouvaient solliciter un financement auprès du Technology Modernization Fund, conçu pour les aider à abandonner leurs systèmes existants et à investir dans des technologies agiles et transformatrices.
Il s’avère que l’adoption de la loi MGT s’est révélée encore plus visionnaire que quiconque aurait pu l’imaginer.
En raison de la COVID-19, la nécessité de moderniser les anciens systèmes de cybersécurité et de migrer vers le cloud s’est considérablement accélérée. La pandémie a également ouvert une brèche permettant à des pirates malveillants d’exploiter des vulnérabilités au moyen d’un large éventail de tactiques, allant des rançongiciels aux attaques DDoS/DoS, entre autres. En effet, plus tôt cette année, le département de la Sécurité intérieure des États-Unis et le National Cyber Security Centre du Royaume-Uni ont lancé une mise en garde sévère face à la recrudescence des logiciels malveillants et des rançongiciels.
Bien entendu, les menaces de sécurité étaient en hausse bien avant la COVID-19. Selon un rapport publié par Verizon au début de la pandémie, les rançongiciels représentaient 61 % des incidents liés à des logiciels malveillants dans le secteur public, tandis que 33 % des violations étaient imputables à des acteurs internes. Par ailleurs, un rapport publié début 2020 par la Cybersecurity & Infrastructure Security Agency (CISA) indique que « des acteurs étrangers de la cybermenace continuent d’exploiter des vulnérabilités logicielles connues du public — et souvent anciennes — contre un large éventail de cibles, notamment des organisations des secteurs public et privé ».
Il n’y a plus de périmètre
Mais la COVID-19 a élargi la surface d’attaque. Le télétravail est désormais la norme et les utilisateurs dépendent de plus en plus des applications basées sur le cloud. Alors qu’un nombre croissant d’agents publics travaillent depuis leur domicile, les exigences en matière de capacité et de sécurité ont mis à rude épreuve les systèmes et les processus.
Ces facteurs représentent des défis pour les équipes de sécurité informatique chargées de sécuriser des réseaux toujours plus distribués et un ensemble d’applications potentiellement vulnérables. Alors qu’elles pouvaient auparavant s’appuyer sur des solutions de sécurité traditionnelles pour protéger le périmètre de leurs réseaux, aujourd’hui, les périmètres ont pratiquement disparu.
Par conséquent, les organisations devraient envisager d’investir les fonds alloués au titre du MGT Act dans plusieurs formes de protection dynamique afin de garantir leur sécurité sur différents fronts. Par exemple, la surveillance des accès des utilisateurs privilégiés et la mise en œuvre de protocoles de gestion des identités permettent de s’assurer que seules les personnes autorisées ont accès au réseau et aux informations hautement sensibles. Parallèlement, les outils de sécurité des applications offrent une protection contre les vulnérabilités des API, les injections, les attaques par script intersites, et bien plus encore.
Les organisations doivent également veiller à ce que leurs politiques de sécurité soient cohérentes sur l’ensemble des plateformes multicloud ou de cloud hybride. Celles-ci peuvent offrir une grande flexibilité et des avantages en matière de coûts, mais aussi engendrer une très grande complexité. Les différents fournisseurs de services cloud appliquent diverses politiques, notamment des modèles de responsabilité partagée qui stipulent que le client est responsable de la sécurité des données. Il peut donc être difficile d’obtenir une vision claire de la sécurité des applications sur plusieurs clouds. L’automatisation de la sécurité dans les environnements sur site et les différents environnements cloud permet de garantir que les applications sont soumises aux mêmes politiques et restent sécurisées, quel que soit leur emplacement.
Un cadre pour réussir
Alors que les organismes envisagent d’investir les fonds dont ils disposent dans de nouvelles technologies de cybersécurité, ils devraient également commencer à élaborer des cadres de cybersécurité afin de les aider à mettre ces technologies à profit. Le cadre de cybersécurité du National Institute of Standards and Technology (NIST) constitue un excellent point de départ.
Le cadre de cybersécurité du NIST aide les organismes à mettre en place de meilleures pratiques de gestion des risques en adoptant une approche globale couvrant l’ensemble du cycle de vie. En suivant les lignes directrices établies par le NIST, les organismes évaluent et atténuent continuellement les risques au moyen de cinq fonctions essentielles : identifier, protéger, détecter, réagir et rétablir. Les technologies susmentionnées s’intègrent parfaitement à toutes ces catégories, car elles permettent de repérer les vulnérabilités potentielles et d’y remédier en cas de faille de sécurité.
Le cadre de cybersécurité du NIST est un outil précieux, car il fournit aux organisations une structure normalisée leur permettant de créer des programmes de sécurité hautement adaptatifs. Sa flexibilité permet aux organisations de l’adapter à leurs besoins spécifiques, tout en leur offrant un modèle commun pour gérer les risques et remédier aux vulnérabilités. Les organisations peuvent intégrer leurs propres politiques de sécurité au cadre tout en tirant parti des normes et des bonnes pratiques recommandées par le NIST.
N’en payez pas le prix
Selon un récent rapport de Ponemon, le coût moyen d’une violation de données s’élève à la somme vertigineuse de 3,86 millions de dollars. C’est considérable, d’autant plus que de nombreuses organisations, y compris les organismes publics, doivent désormais faire plus avec moins, alors que les budgets continuent de se resserrer en raison de la pandémie.
De toute évidence, les agences ne peuvent pas se permettre de baisser la garde, au sens propre comme au figuré. Il est temps d’investir une partie des fonds disponibles dans le cadre du MGT Act dans des solutions de cybersécurité modernes et automatisées, capables de les protéger contre des menaces en constante évolution et de préserver ainsi leurs données, tout en leur permettant potentiellement d’économiser des millions de dollars. Découvrez comment les solutions F5 aident les agences fédérales à sécuriser leurs réseaux, à réduire leurs coûts et à mener à bien leurs missions.
Par Michael Coleman, responsable de l’ingénierie des solutions pour le secteur fédéral chez F5
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.