Cinq recommandations pour débloquer les avantages de la rationalisation des systèmes fédéraux de cybersécurité
Le gouvernement américain marque le mois d'octobre comme le mois de la sensibilisation à la cybersécurité pour célébrer le travail annuel d'innombrables fonctionnaires dévoués pour renforcer la sécurité des États-Unis. De nombreux membres de l'ITI s'associent fièrement au gouvernement fédéral pour offrir des technologies et des services innovateurs de l'information et des communications qui aident les organismes à s'acquitter de leur mission. Pour assurer la sécurité et l'efficacité des services constituants, le gouvernement fédéral doit gérer et rationaliser les efforts parallèles de cybersécurité tout en accordant la priorité à la collaboration entre les organismes et les partenaires de l'industrie.
En raison de l'interdépendance des systèmes d'information, le gouvernement doit examiner de façon holistique la gestion du risque d'information du gouvernement fédéral afin de réduire la probabilité de fausses configurations et de silos de sécurité imprévus. Bien que certains efforts, comme la récente Mémorandum OMB M-22-18 (s’ouvre dans un nouvel onglet), s'appliquent à tous les organismes fédéraux, d'autres efforts continus placent directement les exigences sur la base des fournisseurs de TI, comme le programme de certification des modèles de cybersécurité (CMMC) du ministère de la Défense (DoD), le Guide sur les exigences en matière de sécurité de l'informatique en nuage (SRG) et la révision de la publication spéciale (800-171) de l'Institut national des normes et technologies. Afin d'optimiser la sécurité tout en minimisant le risque de conséquences négatives imprévues, ces efforts doivent être intégrés de manière transparente. Un patchwork désorganisé des mandats fédéraux de sécurité créera des exigences dupliquées ou contradictoires. Cela pourrait paralyser les opérations gouvernementales et même mettre en péril la sécurité nationale américaine. En revanche, une approche pangouvernementale coordonnée en matière de cybersécurité permettra 1) de libérer des ressources précieuses qui peuvent être répertoriées afin de faire face aux risques les plus élevés pour le système d'information; 2) d'améliorer le partage de l'information interagences qui peut contribuer à stimuler l'acquisition de produits et de services novateurs; et 3) de réduire les obstacles à l'entrée des petites et moyennes entreprises dans la concurrence pour les marchés publics.
Voici cinq recommandations sur la façon dont le gouvernement fédéral peut dégager les avantages cachés de la rationalisation des régimes fédéraux de cybersécurité :
- Assurer la réciprocité entre les divers régimes fédéraux de cybersécurité. Cela est essentiel, car cet alignement permet aux organismes gouvernementaux américains d'accéder à une base de fournisseurs diversifiée qui peut rapidement se conformer aux exigences liées à la cybersécurité. Les entrepreneurs qui ont subi les travaux requis pour obtenir une certification ou une autorisation en vertu d'un même régime ne devraient pas avoir à faire double emploi avec ces travaux lorsqu'ils demandent une certification supplémentaire. Par exemple, le gouvernement des États-Unis devrait effectuer un passage croisé complet des contrôles qui se chevauchent entre la norme NIST SP 800-171, FedRAMP, et le Guide des exigences de sécurité DoD. Une cartographie complète des contrôles aiderait les entrepreneurs qui estiment pouvoir satisfaire aux exigences d'un cadre à comprendre ce qui est nécessaire pour obtenir une certification dans l'autre.
- Réduire au minimum les exigences trop lourdes qui entravent les missions et ne font rien pour améliorer la cybersécurité. La cybersécurité n'est pas un exercice « check-the-box » – elle doit aborder les risques réels. Les fonctionnaires devraient adopter une approche fondée sur les risques pour exiger la mise en œuvre d'un système de certification de la cybersécurité dans les contrats et choisir une portée appropriée. Les exigences qui ne sont pas fondées sur le risque ou qui sont appliquées de façon excessive peuvent amener les entreprises innovatrices à quitter complètement le marché fédéral. Par exemple, les entrepreneurs du DoD qui reçoivent une certification du CMMC d'un organisme d'évaluation indépendant alors que la révision de la disposition spéciale 800-171 est en cours ne devraient pas avoir à commencer à zéro lorsque le NIST publie une version plus récente de cette ligne directrice. Au lieu de cela, définir le delta des contrôles supplémentaires aiderait les entrepreneurs à démontrer plus facilement qu'ils se conforment à des régimes additionnels ou changeants, ce qui améliorerait l'accès des gouvernements aux services commerciaux novateurs.
- Reconnaître que la cybersécurité est un processus continu. À mesure que la technologie évolue, de nouveaux acteurs et techniques entrent en permanence dans le paysage des menaces. Cela créera de nouvelles lacunes qui doivent être rapidement comblées. Ainsi, les régimes fédéraux de cybersécurité devraient permettre et fournir des conseils pour l'utilisation et l'exécution en temps opportun des plans d'action et des jalons, qui permettent aux entrepreneurs de cerner les lacunes actuelles et d'expliquer aux partenaires gouvernementaux comment ils entendent atteindre les objectifs du régime de cybersécurité.
- Intégrer l'effectif fédéral d'acquisition dans les processus fédéraux de cybersécurité. L'effectif fédéral d'acquisition est un acteur clé dans la protection des réseaux et des systèmes fédéraux, et ce groupe devrait être pleinement intégré aux processus fédéraux de cybersécurité. Le gouvernement fédéral devrait fournir des directives claires à tout le personnel chargé de la passation des marchés qui l'avise d'accroître la cybersécurité dans tous les marchés de TI et de cesser d'utiliser les coûts comme déterminant unique, comme l'exige la les directives actuelles en matière d'acquisition. (s’ouvre dans un nouvel onglet) L'affaire 2022-010 du Règlement fédéral sur les acquisitions (FAR) récemment ouverte, qui établit une nouvelle partie 40 consacrée à la gestion des risques liés à la chaîne d'approvisionnement électronique, est un pas dans la bonne direction. Il est tout aussi impératif de fournir des conseils sur les cas où les entrepreneurs principaux doivent ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
- Embrassez-vous de l'industrie en tant que partenaire à part égale dans la mission plus vaste d'améliorer la cybersécurité fédérale. L'information doit être partagée non seulement entre les organismes, mais aussi entre les organismes et les entrepreneurs. Le gouvernement des États-Unis devrait tenir des réunions publiques régulières sur les questions de cybersécurité et établir des canaux de communication réguliers, en s'appuyant sur des partenariats public-privé semblables à ceux du Groupe de travail sur la gestion des risques de la chaîne d'approvisionnement des TIC. Dans l'espace réglementaire, l'échange d'informations entre le secteur public et le secteur privé peut être facilité par l'utilisation d'avis avancés de projets de réglementation et d'ateliers publics prédécisionnels.
Le moment est venu pour le gouvernement fédéral d'adopter une approche holistique de la gestion de la cybersécurité fédérale pour renforcer la sécurité des États-Unis. L'ITI se réjouit de continuer à travailler avec les partenaires gouvernementaux pour poursuivre cet important travail.
- Oui.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
