Les recommandations TIC 3.0 doivent-elles modifier votre approche de la sécurité ?

Bill ChurchDirecteur technique terrain – Secteur fédéral

Les cyberattaques visant les agences fédérales constituent une menace persistante et en constante évolution, qui exige une réponse toujours plus sophistiquée. Le recours croissant aux environnements cloud et mobiles, associé à une augmentation sans précédent du nombre de télétravailleurs, a rendu les agences plus vulnérables aux menaces émanant de pirates informatiques, d’escrocs et d’acteurs étatiques malveillants qui ciblent la vaste présence en ligne du gouvernement fédéral. La publication d’une version actualisée de la politique Trusted Internet Connections (TIC 3.0) permet aux agences de mieux faire face à ces nouveaux risques.

L’un des principaux objectifs de TIC 3.0 est de faciliter la modernisation des agences, notamment en favorisant une adoption plus large du cloud et la prise en charge des télétravailleurs utilisant plusieurs appareils. Si votre agence s’engage résolument dans ces domaines, le moment est idéal pour envisager de renforcer votre approche en matière de sécurité en suivant les recommandations de TIC 3.0.

Mises à niveau de TIC 3.0

L’initiative TIC, lancée en 2007, a constitué une étape importante pour la cybersécurité fédérale en établissant un cadre regroupant des contrôles de sécurité, des outils d’analyse, des pratiques de gouvernance et des pratiques liées au cycle de vie du développement des applications (SDLC). TIC 3.0 présente les dernières directives relatives au déploiement d’architectures sécurisées, flexibles et évolutives, en tenant compte d’aspects allant au-delà des technologies d’infrastructure.

Les trois organismes chargés de superviser l’initiative — l’Office of Management and Budget (OMB), la Cybersecurity and Infrastructure Security Agency (CISA) du Department of Homeland Security (DHS) et la General Services Administration (GSA) — ont indiqué que TIC 3.0 avait pour objectif de sécuriser les données, les réseaux et les périmètres fédéraux, tout en assurant une visibilité sur le trafic des organismes, notamment les communications dans le cloud. Parmi les principales améliorations figurent des orientations plus souples et des cas d’usage concrets répondant au besoin d’adopter des approches différentes de la sécurité réseau traditionnelle.

Il existe actuellement quatre cas d’usage — TIC traditionnel, cloud, succursales et utilisateurs à distance — qui permettent aux agences de faciliter l’adoption de nouvelles solutions informatiques adaptées à l’évolution actuelle de l’environnement de travail. Les versions précédentes de TIC ne prenaient pas efficacement en compte le télétravail, bien que celui-ci soit devenu une pratique de plus en plus courante sur le lieu de travail. La pandémie de COVID-19 a considérablement accéléré le développement du télétravail, rendant encore plus urgente la nécessité d’une stratégie offrant un accès sécurisé et fiable aux environnements de travail non traditionnels. En mettant correctement en œuvre les directives TIC 3.0, les agences pourront favoriser la sécurisation du trafic réseau et périmétrique au sein des zones de confiance de l’administration fédérale, puis l’étendre à l’ensemble de leur trafic.

Évaluez votre architecture

Le Guide des cas d’usage TIC 3.0 recommande aux agences d’évaluer leur architecture afin de déterminer quels cas d’usage sont applicables et leur explique comment sécuriser leur architecture et se conformer aux exigences TIC. Je pense qu’il s’agit d’un excellent outil pour les agences, en particulier celles qui ne disposent pas des composants architecturaux requis pour certains cas d’usage.

Les agences sont tenues de sécuriser les périmètres de leur réseau conformément au mémorandum M-19-26 de l’OMB. Cependant, chaque agence est différente. C’est pourquoi il est important de garder votre mission à l’esprit lorsque vous définissez votre approche en matière de sécurité, mais aussi de trouver un équilibre entre les stratégies préconisées par TIC 3.0 et les objectifs propres à votre mission.

Il est essentiel que les agences choisissent le bon cadre de cybersécurité

Le cadre TIC 3.0 repose principalement sur le cadre de cybersécurité du National Institute of Standards and Technology (NIST), qui s’articule autour de cinq fonctions essentielles d’une importance capitale :

Identifier : Ayez une compréhension complète de vos systèmes, de vos collaborateurs, de vos actifs, de vos données et de vos capacités afin de pouvoir évaluer et gérer les risques.

Protéger : Développez et mettez en œuvre des mesures de protection appropriées afin de limiter ou de contenir l’impact d’un éventuel incident de cybersécurité.

Détecter : Utilisez des solutions de surveillance continue afin de pouvoir détecter rapidement la survenue d’un incident de cybersécurité.

Répondre : Élaborez un plan d’intervention qui vous permettra d’agir et de limiter l’impact d’un incident de cybersécurité détecté.

Récupération : Élaborez et mettez en œuvre un plan efficace pour restaurer les systèmes et/ou les actifs touchés par l’incident de cybersécurité. Intégrez les enseignements tirés à une stratégie révisée.

L’élément le plus important de ce cadre est peut-être que chacune de ces fonctions est associée à un contrôle de point d’application universel de la sécurité ou des politiques au sein du cadre TIC 3.0. Bien qu’il soit essentiel d’utiliser l’identité comme point de contrôle unique pour les accès, nous avons été surpris d’apprendre, grâce à un rapport de F5 Labs, que 33 % des violations avaient initialement ciblé les identités. Il est donc essentiel de protéger le périmètre d’identité.

Les proxys d’accès constituent un outil efficace pour imposer un point de contrôle unique, en offrant une méthode cohérente de mise en œuvre des contrôles d’accès et des exigences d’authentification nécessaires en amont des applications. Il n’est ainsi plus nécessaire de partir du principe que chaque développeur d’applications est un expert en authentification, ce qui est peu probable.

Lors de la mise en œuvre de vos normes de sécurité actualisées, je vous recommande de disposer des solutions applicatives adaptatives adéquates afin de respecter les aspects pertinents des directives TIC. Vous devez suivre un continuum allant du code au client et couvrant les six éléments fondamentaux suivants, qui intègrent et respectent bon nombre des principes directeurs du cadre TIC 3.0, notamment en ce qui concerne les cas d’usage pertinents pour votre organisme :

• vision centrée sur les applications (plutôt que sur l’infrastructure)
• indépendance vis-à-vis des plateformes dans le cadre d’une approche multicloud
• l’open source au cœur de la solution
• sécurité intégrée
• analyses intégrées/fonctionnalités basées sur l’IA
• Une approche API-first pour le développement d’applications modernes

Il est temps de réexaminer attentivement l’approche de votre agence en matière de sécurité

TIC 3.0 constitue une excellente occasion de réévaluer votre approche en matière de sécurité. Face à l’évolution des menaces, les experts en sécurité des agences savent qu’il est essentiel de rester vigilants. Si les technologies évoluent, l’objectif ultime reste le même : protéger votre agence.

F5 peut vous aider: La quasi-totalité des produits et fonctionnalités de F5 répond à certains aspects des directives TIC, ce qui nous place en bonne position pour satisfaire à bon nombre des recommandations et contrôles définis dans TIC 3.0. Toutes les agences ministérielles et les différentes branches du département de la Défense font confiance à F5 pour fournir des applications auxquelles les citoyens, les employés et les militaires peuvent accéder en toute sécurité, à tout moment, sur n’importe quel appareil et où qu’ils se trouvent. Chez F5, nous donnons à nos clients la liberté de fournir chaque application en toute sécurité, partout et en toute confiance. Pour en savoir plus, consultez notre page Solutions F5 pour les organismes fédéraux américains.

Bill Church
Directeur de la technologie – F5 US Federal Solutions

À propos de l’auteur

Bill ChurchDirecteur technique terrain – Secteur fédéral

Autres articles de Bill Church