Protéger les chaînes d'approvisionnement américaines : stratégies pour atténuer les cybermenaces

En février, le président Joe Biden a signé le décret 14017, appelant à un examen complet des chaînes d'approvisionnement critiques des États-Unis. L'action répondait aux pénuries de fournitures médicales comme les équipements de protection individuelle (EPI) pour les travailleurs de santé en première ligne au plus fort de la pandémie de COVID-19. D'autres besoins identifiés par le décret incluaient les puces semi-conductrices pour l'industrie automobile et d'autres applications de haute technologie.

Ces problèmes entravent la capacité des Américains à obtenir des produits essentiels et créent de l'instabilité pour les travailleurs dans les industries affectées. L'objectif du nouveau décret, selon la Maison Blanche, est de traiter proactivement de tels problèmes avant qu'ils ne se reproduisent.

« Bien que nous ne puissions pas prédire quelle crise nous frappera, nous devrions avoir la capacité de répondre rapidement face aux défis », a déclaré la Maison Blanche. « Les États-Unis doivent s'assurer que les pénuries de production, les perturbations commerciales, les catastrophes naturelles et les actions potentielles de concurrents et d'adversaires étrangers ne laissent jamais les États-Unis vulnérables à nouveau. »

La campagne du président a clairement indiqué que son administration est engagée à traiter les risques de la chaîne d'approvisionnement de manière exhaustive. Mais l'initiative réussira-t-elle ?

D'un point de vue sécurité, il y a un certain nombre de questions que l'administration devrait considérer. Ne pas le faire entraînera une duplication de temps et d'efforts, gaspillant des ressources tout en échouant à atténuer les risques cybernétiques qui pourraient entraîner une autre attaque de la chaîne d'approvisionnement.

La première étape pour assurer la sécurité des chaînes d'approvisionnement américaines est d'identifier leurs vulnérabilités et risques. Le décret de Biden se concentre sur six secteurs : la base industrielle de défense, la santé publique, les technologies de l'information et communications, l'énergie et l'électricité, les transports, et l'agriculture.

La dépendance des chaînes d'approvisionnement aux produits et services numériques a créé de sérieuses vulnérabilités, faisant de la cybersécurité une partie essentielle de l'examen. La crainte qu'un acteur étatique puisse décider de bloquer la chaîne d'approvisionnement via la cybercriminalité est réelle. La section 4.4 du décret clarifie que la gestion des risques cybernétiques est une préoccupation clé et un domaine de focus. Dans un an, des rapports doivent être soumis couvrant l'état actuel de la dépendance des chaînes d'approvisionnement vis-à-vis des nations concurrentes. La façon dont le gouvernement engage la communauté de la sécurité de l'information à cette fin fera ou brisera l'initiative dans tous les secteurs.

Garantir des résultats en un an

L'entreprise couvre beaucoup de terrain pour un délai d'un an. Il est critique que la communauté de la sécurité de l'information et de la technologie, s'appuyant sur les leçons de l'année écoulée, fournisse des contributions aux parties qui pilotent l'initiative. Les efforts de groupes industriels tels que les centres de partage et d'analyse d'informations (ISACs) et le Conseil de coordination sectoriel IT (ITSCC) seront au cœur du succès. En outre, il y a une montagne de données et d'analyses provenant des quatre grands cabinets de conseil sur les risques à prioriser lorsqu'on traite avec des tiers.

Le département américain de la Défense devrait jouer un rôle clé pour aider l'initiative à se déployer sans accroc. Un effort comparable supervisé par le DoD est la certification du modèle de maturité en cybersécurité (CMMC), exigeant que les fournisseurs de matériaux sous contrat gouvernemental respectent des normes spécifiques. Un conseil clé, basé sur les réactions publiques et privées au CMMC jusqu'à présent, est d'éviter autant que possible de mélanger les processus d'attribution et de révision des contrats. Les leaders sectoriels et les agences gouvernementales devraient travailler ensemble pour décider d'une norme simple mais efficace pour la cybersécurité à travers les différentes chaînes d'approvisionnement simplement.

L'importance de la standardisation

Créer les bons partenariats et obtenir l'avis d'experts en sécurité de l'information est une chose, mais assurer une maturité accrue en cybersécurité à travers les chaînes d'approvisionnement américaines en est une autre. La communication est l'élément unique qui peut faire ou défaire de nouvelles exigences lorsqu'elles sont déployées dans un écosystème aussi vaste. Elle est pilotée par la mesure, avec des résultats standardisés entre les groupes quel que soit leur niveau de maturité en cybersécurité. Des normes telles que la sous-catégorie Gestion des risques de la chaîne d'approvisionnement du NIST CSF ou le CMMC mentionné précédemment sont d'excellents outils pour rendre les exigences claires et les mettre en œuvre efficacement à travers les chaînes d'approvisionnement. Les méthodologies d'évaluation cybernétique sous NIST CSF sont particulièrement précieuses pour fournir un contexte aux fournisseurs ayant peu de connaissances en sécurité de l'information.

En matière de mesure, simuler tous les risques potentiels dans les chaînes d'approvisionnement américaines est impossible, compte tenu de la complexité des écosystèmes mondiaux de chaînes d'approvisionnement. Il n'en reste pas moins précieux d'identifier des scénarios examinant divers points de défaillance potentiels. Tirer parti des méthodologies de quantification des risques existantes de manière créative est la clé pour atteindre une véritable résilience. Il est essentiel que les entreprises comprennent le risque de la chaîne d'approvisionnement comme un moyen d'atteindre une bonne gouvernance, s'appuyant sur les contributions des équipes de sécurité, le partage de données et d'informations, et les avancées dans les logiciels de gestion des risques.

On ne peut qu'espérer que l'initiative de chaîne d'approvisionnement de Biden tirera parti des données existantes d'événements passés, et d'analyses prédictives sur l'avenir. Toute la chaîne d'approvisionnement peut-elle être benchmarkée, et toutes les vulnérabilités identifiées en un an ? Et pouvons-nous atténuer le risque cybernétique sévère dans les chaînes d'approvisionnement américaines ? Cela reste à voir.

Padraic O'Reilly est co-fondateur et directeur produit de CyberSaint.