La nouvelle directive CISA remodèlera la manière dont les agences priorisent les cyber-risques, selon un responsable
L’Agence de cybersécurité et de sécurité des infrastructures prévoit de publier mercredi une directive contraignante qui charge le gouvernement fédéral de repenser la façon dont il gère les risques pour ses réseaux et de donner la priorité aux cybervulnérabilités qui exigent le plus d’urgence, a déclaré le directeur par intérim de l’agence, Nick Andersen.
L’objectif est d’inciter les agences à se concentrer moins sur le grand nombre de cyber-vulnérabilités connues et davantage sur les risques que ces failles posent si elles sont exploitées par des pirates informatiques, a déclaré Andersen, qui a ajouté que la cybercommunauté doit « accepter de dire que certains systèmes sont moins importants que d’autres ».
« Si nous essayons de dire que tout est tout aussi important, alors absolument rien ne sera important », a-t-il déclaré devant un parterre de professionnels du secteur lors d’un événement organisé mardi par la société de cybersécurité Axonius.
« Cela va être très difficile pour nous, si un jour nous devons avoir ces conversations difficiles avec des gens sur le fait que nous savions mieux et que nous n’avons pas hiérarchisé les risques de manière appropriée, que nous n’avons pas fait des choix difficiles », a-t-il ajouté.
Ces remarques constituent une reconnaissance du fait que les agences ne peuvent pas protéger tous les systèmes de la même manière via des mandats de correctifs et doivent plutôt concentrer leurs ressources souvent limitées sur les vulnérabilités et les réseaux dont la compromission pourrait causer les plus grands dommages.
Les agences fédérales sont une cible constante pour les pirates informatiques. Pendant des années, des adversaires ont compromis les systèmes gouvernementaux pour accéder aux e-mails, aux dossiers des employés et à d’autres données sensibles.
Les agences gouvernementales supervisent également des secteurs industriels tels que l’énergie, la santé, les télécommunications et l’eau, ce qui signifie que leur personnel cyber doit également évaluer la manière dont les perturbations pourraient se répercuter sur les services critiques.
En marge de l’événement, Andersen a déclaré aux journalistes que les cybermenaces basées sur l’intelligence artificielle constituaient un facteur éclairant les discussions autour de la directive, mais il a déclaré que les travaux de la CISA sur l’écosystème de l’IA étaient encore antérieurs à la sortie de systèmes puissants tels que Mythos d’Anthropic.
L’approche de l’administration en matière d’IA a changé ces derniers mois alors que les responsables sont confrontés à une nouvelle classe de modèles axés sur la cybersécurité, capables d’identifier rapidement les vulnérabilités des réseaux informatiques, devenant ainsi un moteur majeur des discussions sur la manière dont les systèmes d’IA avancés pourraient remodeler les cyber-opérations défensives et offensives.
Le président Donald Trump a récemment signé un décret sur la sécurité de l’IA qui encourage les développeurs à soumettre de nouveaux modèles puissants à un examen gouvernemental de 30 jours avant leur publication publique. Vendredi, il a signé un mémorandum visant à accélérer l’utilisation par le gouvernement de l’IA avancée au sein de la communauté militaire et du renseignement.
« La (directive) reconnaît-elle que nous sommes dans un environnement dynamique différent avec un calendrier plus court en matière d’armement et d’exploitation ? Oui, cela en fait certainement partie », a déclaré Andersen. « Mais bien avant ces deux derniers mois, nous avions une conversation sur la fenêtre de plus en plus courte dont nous disposons aujourd’hui pour remédier aux vulnérabilités. »
« Il est trop facile pour les cyber-acteurs malveillants de pouvoir exploiter (les vulnérabilités) dès qu’elles sont publiées et de pouvoir profiter du fait que beaucoup de personnes ne disposent tout simplement pas des ressources nécessaires comme nous le souhaiterions et ne sont pas aussi en mesure de disposer rapidement d’un cycle de correctifs continu pour pouvoir traiter certains de ces appareils », a-t-il ajouté.
