Le NIST publie de nouveaux outils de cybersécurité pour contrer les menaces étatiques

La Publication Spéciale 800-172 est conçue pour protéger les informations sensibles dans une variété de systèmes électroniques.

Les nations du monde entier ajoutent la cyber-guerre à leur arsenal, employant des équipes hautement qualifiées pour lancer des attaques contre d'autres pays. Ces adversaires sont aussi appelés la « menace persistante avancée », ou APT, car ils possèdent les outils et les ressources pour poursuivre leurs objectifs de manière répétée sur une période prolongée, s'adaptant aux efforts des défenseurs pour les résister.

Les données vulnérables incluent les informations sensibles mais non classifiées gérées par le gouvernement, l'industrie et le monde universitaire en soutien à divers programmes fédéraux. Maintenant, une publication finalisée de l'Institut National des Standards et de la Technologie (NIST) fournit des directives pour protéger de telles « informations contrôlées non classifiées » (CUI) contre l'APT. La Publication Spéciale (SP) 800-172 du NIST, Exigences de Sécurité Renforcées pour la Protection des Informations Contrôlées Non Classifiées : Un Supplément à la SP NIST 800-171, offre un ensemble d'outils conçus pour contrer les efforts des hackers parrainés par des États et complète une autre publication du NIST visant à protéger les CUI.

« Les cyberattaques sont menées avec des armes silencieuses, et dans certaines situations, ces armes sont indétectables », a déclaré Ron Ross, informaticien et fellow du NIST. « Parce que vous ne "ressentez" peut-être pas les effets directs du prochain piratage pour l'instant, vous pourriez penser qu'il arrivera un jour plus tard ; mais en réalité, cela se passe maintenant. »

Le gouvernement fédéral compte fortement sur des prestataires de services non fédéraux pour l'aider à mener une large gamme de missions en utilisant des systèmes d'information – un terme qui inclut les ordinateurs, mais aussi une gamme d'autres technologies spécialisées telles que les systèmes de contrôle industriels et l'Internet des Objets. La protection des informations fédérales sensibles qui résident dans des systèmes non fédéraux – comme ceux utilisés par les gouvernements étatiques et locaux, les collèges et universités, et les organisations de recherche indépendantes – est d'une importance primordiale, car cela peut directement affecter la capacité du gouvernement fédéral à mener ses opérations. Un piratage en 2018 qui a compromis des informations sensibles a directement inspiré le travail de l'équipe du NIST sur la SP 800-172.

Anciennement numérotée SP 800-171B pendant ses phases de brouillon, la SP 800-172 offre des recommandations supplémentaires pour la gestion des CUI dans les situations où ces informations courent un risque d'exposition plus élevé que d'habitude. Les CUI incluent une grande variété de types d'informations, des noms d'individus ou numéros de sécurité sociale aux informations de défense critiques.

« Nous avons développé la SP 800-171 en réponse à de grandes cyberattaques sur les infrastructures critiques américaines, et son document compagnon SP 800-172 est conçu pour atténuer les attaques de menaces cyber avancées telles que l'APT », a déclaré Ross. « Implémenter les garde-fous cyber dans la SP 800-172 aidera les propriétaires de systèmes à protéger ce que les hackers de niveau étatique ont considéré comme des cibles particulièrement à haute valeur : des informations sensibles sur les personnes, les technologies, l'innovation et la propriété intellectuelle, la révélation de laquelle pourrait compromettre notre économie et notre sécurité nationale. »

Les exigences de sécurité renforcées doivent être implémentées en plus de celles de la SP 800-171, puisque cette publication n'est pas conçue pour adresser l'APT. Les exigences de la SP 800-172 s'appliquent aux composants des systèmes non fédéraux qui traitent, stockent ou transmettent des CUI ou qui fournissent une protection pour de tels composants. Pour affiner davantage la portée, les exigences ne s'appliquent que lorsque les CUI désignées sont associées à un programme critique ou un actif de haute valeur – la plus haute priorité pour la protection.

Développée principalement pour les administrateurs tels que les gestionnaires de programme, les CIO et les auditeurs de systèmes, la publication aborde la protection des CUI pour les composants de systèmes en promouvant une architecture résistante à la pénétration, des opérations limitant les dommages, et des conceptions pour atteindre la résilience cyber et la survie. Ses outils, divisés en 14 familles, ne sont pas destinés à être implémentés en masse, mais sélectionnés selon les besoins de l'organisation.

« Il est plus que probable qu'une organisation implémentant cette guidance ne voudra pas utiliser toutes les exigences de sécurité renforcées que nous offrons ici », a dit Ross. « La décision de sélectionner un ensemble particulier d'exigences de sécurité renforcées sera basée sur votre mission et vos besoins commerciaux – et ensuite guidée et informée par des évaluations de risques continues. »

En réponse aux retours reçus pendant la période de commentaires publics, le brouillon final inclut des directives de portée et d'applicabilité mises à jour et une approche de sélection des exigences plus flexible pour permettre aux organisations de personnaliser leurs solutions de sécurité.

Ross a dit que les outils dans la nouvelle publication devraient offrir de l'espoir à quiconque cherche à se défendre contre les piratages, même par une menace aussi intimidante que l'APT.

« Les adversaires apportent leur "A-game" dans ces cyberattaques 24 heures par jour, 7 jours par semaine », a-t-il dit. « Vous pouvez commencer à vous assurer que les dégâts sont minimisés si vous utilisez les garde-fous cyber de la SP 800-172. »

Source originale : https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers