Votre programme de sécurité est-il prêt pour le plan stratégique de cybersécurité de la CISA ?

Une version de cet article a été publiée dans Forbes. Il a été mis à jour et syndiqué ici.


‍Le plan stratégique de cybersécurité impose des changements majeurs dans la manière dont la plupart des organisations abordent la cybersécurité, et les développeurs sont idéalement placés pour contribuer à la réalisation de ces nouveaux objectifs.

‍

La Cybersecurity and Infrastructure Security Agency (CISA) joue non seulement un rôle déterminant dans la protection des infrastructures critiques et des réseaux informatiques des États-Unis depuis sa création en 2018, mais son influence et son expertise rayonnent également à l'échelle mondiale. Les conseils complets, les avis de sécurité, les rapports de vulnérabilité et les programmes de cybersécurité de l'agence ont établi une référence mondiale en matière de bonnes pratiques exploitables, soulignant l'importance du nouveau plan stratégique 2023-2025 de la CISA dans le domaine de la cybersécurité mondiale.

L'influence et les réalisations de la CISA dépassent largement ce que la plupart des agences gouvernementales ont pu accomplir, surtout si l'on considère qu'elle n'existe que depuis quelques années. Cela s'explique en grande partie par la croissance exponentielle du paysage des menaces et par le fait que les attaquants sont de plus en plus compétents dans leurs tentatives d'intrusion et d'exploitation. La CISA a assumé un rôle de leader dans la lutte contre les cybercriminels et autres acteurs malveillants, en suivant méthodiquement les tendances et en conseillant sur les meilleures pratiques de cybersécurité.

Cependant, malgré tous les conseils et orientations utiles de l'agence, elle n'avait jamais publié auparavant de plan stratégique global conçu pour définir l'orientation générale des efforts de cybersécurité pour les années à venir. Il ne s'agit pas simplement d'un autre plan, mais d'une étape importante que de nombreuses organisations voudront étudier et, à terme, mettre en œuvre. Le fait que ce plan appelle à des changements majeurs dans l'approche de la cybersécurité pourrait rendre le suivi de ces directives difficile, bien que la communauté des développeurs soit dans une position unique pour apporter son aide si elle bénéficie du soutien, des outils et des parcours de montée en compétences appropriés.

Un vent de changement souffle sur les bonnes pratiques de cybersécurité mondiales

À première vue, il serait facile de percevoir une certaine frustration dans le plan stratégique de la CISA, mais l'agence reconnaît simplement le fait que si nous continuons à agir comme nous le faisons actuellement, nous obtiendrons les mêmes résultats. Pour améliorer la cybersécurité, des changements majeurs sont nécessaires à tous les niveaux, y compris de la part des entreprises qui créent les logiciels et les applications utilisés aujourd'hui.

Pointer du doigt les logiciels, du moins en partie, est un concept qui a déjà été introduit. En fait, la Stratégie de sécurité nationale des États-Unis stipule explicitement qu'une « mauvaise sécurité logicielle augmente considérablement le risque systémique dans l'ensemble de l'écosystème numérique ». Le plan stratégique de la CISA définit une nouvelle stratégie pour aborder et résoudre ce problème.

Le changement le plus important préconisé par la CISA en matière de cybersécurité consiste à mettre au défi les créateurs de logiciels de livrer des produits sécurisés. Si des bonnes pratiques de codage sécurisé sont établies et mises en place, il y aura beaucoup moins de vulnérabilités, en particulier les plus critiques, dissimulées dans les logiciels et exploitables par les attaquants. Certes, des oublis peuvent toujours survenir et nécessiteront de la vigilance pour être détectés et corrigés, mais c'est une proposition gérable par rapport au statu quo actuel : des centaines de vulnérabilités détectées chaque jour qui surchargent les défenseurs de la cybersécurité. La CISA déclare très clairement dans son plan que ceux qui fabriquent des logiciels et d'autres technologies doivent être tenus responsables de la sécurité de leurs propres produits.

« En tant que société, nous ne pouvons plus accepter un modèle où chaque produit technologique est vulnérable dès sa sortie et où le fardeau écrasant de la sécurité repose sur les organisations et les utilisateurs individuels », déclare le plan stratégique de la CISA. « La technologie doit être conçue, développée et testée pour minimiser le nombre de failles exploitables avant d'être introduite sur le marché. »

Le plan suggère ensuite qu'à terme, cette nouvelle approche pourrait dépasser le stade de la simple recommandation, précisant que la CISA utilisera « tous les leviers disponibles pour influencer les décisions de risque des dirigeants d'organisations ». Il laisse également entendre que des lois comme le Cyber Incident Reporting for Critical Infrastructure Act de 2022 (CIRCIA), qui régit actuellement la déclaration des cyberincidents, pourraient servir de modèle pour faire passer, à terme, la conformité volontaire à ces nouvelles réglementations vers un caractère plus obligatoire. Quoi qu'il en soit, il serait avantageux pour la plupart des entreprises créant des logiciels et d'autres technologies aujourd'hui d'essayer de soutenir ces nouvelles directives.

Les conseils de la CISA représentent une opportunité clé

Au lieu de ressentir de l'appréhension face à la perspective de réglementations potentielles supplémentaires, les organisations devraient saisir l'opportunité d'utiliser le plan stratégique de la CISA pour viser des logiciels de meilleure qualité. Il ne s'agit pas seulement d'un appel à la conformité, mais d'une chance pour les développeurs d'affiner leurs compétences et de contribuer à un paysage numérique plus sûr. En fin de compte, produire des logiciels sécurisés aide tout le monde, y compris l'entreprise qui les fabrique, les utilisateurs qui en dépendent et les personnes dont les données sont consultées ou stockées par ce logiciel ou cette application. Seuls les attaquants se retrouvent les mains vides si le code qui constitue la majorité des logiciels et des applications est rendu aussi sécurisé que possible avant d'être déployé dans un environnement de production.

Compte tenu de cette nouvelle orientation, il est logique que les développeurs d'une organisation, qui écrivent ou sourcent tout le code, soient le point de départ idéal pour mettre en œuvre un codage plus sécurisé et des efforts de conformité au plan de la CISA. Mais les développeurs ne peuvent pas y arriver seuls sans le soutien du reste de leur organisation, en particulier de la direction. Avoir des développeurs qui comprennent les vulnérabilités, savent écrire du code sécurisé et reconnaissent les problèmes bien avant qu'ils n'atteignent un environnement de production sera la clé pour que les organisations assument enfin la responsabilité de la livraison du code et, comme le dit la CISA, « garantissent que les vulnérabilités sont découvertes et corrigées avant que les adversaires ne puissent les utiliser pour causer des dommages ».

Un point clé à noter est que la formation dont les développeurs ont besoin est assez avancée. Il est difficile pour quiconque de devenir compétent dans l'écriture constante de code sécurisé, et les mesures de conformité purement administratives ne sont tout simplement pas à la hauteur. Les développeurs auront besoin de méthodes d'apprentissage agiles et de haut niveau qui offrent des résultats d'apprentissage pratiques, digestes et continus dans le cadre d'un programme global de sensibilisation à la sécurité, afin de garantir qu'ils possèdent les compétences nécessaires pour maintenir le niveau de sécurité requis par le nouveau plan de la CISA.

Idéalement, la montée en compétences pour se préparer au plan de la CISA devrait également intégrer bon nombre des méthodes et programmes avancés que les développeurs utilisent au quotidien, tels que les principes du développement Agile. Par exemple, dans le développement Agile, le travail est divisé en morceaux gérables, superposant les sprints dans un cycle continu. Un bon programme éducatif qui intègre les pratiques Agile peut aider les développeurs à acquérir rapidement les compétences nécessaires pour soutenir le plan de la CISA, leur permettant de commencer à voir des avantages et à coder de manière plus sécurisée presque immédiatement.

La bonne nouvelle est que la plupart des développeurs soutiennent les pratiques de codage sécurisé et sont impatients d'aider leurs organisations à se conformer à la nouvelle directive de la CISA. Dans une enquête menée auprès de plus de 1 200 développeurs professionnels travaillant activement dans le monde entier, l'immense majorité s'est déclarée favorable au concept de création de code sécurisé et à l'établissement d'une meilleure culture de sécurité au sein de leurs organisations.

Les développeurs ont besoin de parcours de formation précis et d'un soutien adéquat. Si les organisations parviennent à leur offrir cela, non seulement leur code gagnera en sécurité, mais elles prendront une longueur d'avance pour se conformer aux directives du nouveau plan stratégique de cybersécurité de la CISA, voire les dépasser.

Ce changement de culture en matière de sécurité sera exigeant, mais il représente une opportunité exceptionnelle de transformer la cybersécurité. Il s'agit de bâtir un monde où la technologie, qui améliore notre quotidien, ne soit plus la cible constante d'attaquants cherchant à l'exploiter à des fins malveillantes. Nous avons le pouvoir de les arrêter, et le plan de la CISA trace une voie prometteuse vers cet objectif ambitieux, mais tout à fait réalisable.