La securite informatique defaillante des agences federales

Dans le cadre d’une reorganisation du DHS (Department of Homeland Security) annoncee le 13 juillet, le directeur de la cybersecurite sera desormais seulement 2 niveaux au-dessous du secretaire (ou ministre) contre 5 niveaux auparavant. Ses competences s’etendront aux infrastructures de telecommunication. Ce changement, souhaite depuis le debut par les analystes de la politique federale en matiere de cybersecurite, prouve que ce domaine preoccupe le gouvernement. Il intervient alors qu’aucun des 3 derniers directeurs de la cybersecurite n’est reste beaucoup plus qu’un an a son poste, une frustration partagee par ces 3 personnes etant justement l’impossibilite de pouvoir se concerter au plus haut niveau. Le role et les responsabilites de cette fonction ont ete definis pour la premiere fois dans le « National Strategy to Secure Cyberspace » de l’administration Bush en fevrier 2003, qui prevoyait la protection de parties cles d’Internet comme composante d’une strategie plus large pour proteger les interets strategiques americains. Les agences federales sont encore vulnerables : le
15 juillet, le GAO (Government Accountability Office) a renouvele ses critiques sur les pratiques en matiere de securite informatique dans les agences et les carences de l’OMB (Office of Management and Budget) dans son role de coordinateur pour la veille sur les problemes de securite : les agences ont rendu leurs systemes d’information plus surs, comme requis par les regles emises par le National Institute of Standards and Technology suite a la loi FISMA (Federal Information Security Management Act) de 2002, mais 24 des plus grandes agences presentent encore des faiblesses dans leurs politiques et pratiques de securite informatique. Dans un rapport de mai, le GAO notait deja que, si le gouvernement federal avait prevu d’aider les utilisateurs et le secteur prive pour lutter contre le spam, le phishing et les spyware, rien n’avait ete fait pour assister les agences federales et qu’il y avait un manque certain dans la coordination entre les agences federales pour lutter contre les problemes de securite, alors que l’OMB et le DHS sont responsables de cette coordination. Meme la communication au DHS des attaques recues n’est pas faite de facon systematique et fiable. Du cote de la recherche en matiere de cybersecurite, un rapport de fevrier, "Cyber
Security : A Crisis of Prioritization", du PITAC (President’s Information Technology Advisory Committee - cree en 1997 sous l’administration Clinton et qui semble appele a disparaitre) est egalement critique vis-a-vis des financements accordes et de leur repartition : il considere que les approches actuelles ne peuvent pas assurer une securite informatique et des reseaux adequates et que des architectures et technologies fondamentalement differentes sont necessaires pour rendre sure l’architecture IT dans son ensemble ; selon le PITAC, les financements dans le domaine vont essentiellement a des projets a court terme orientes vers la defense, alors qu’il serait beaucoup plus benefique de financer la recherche fondamentale pour tenir compte de problemes de securite plus larges, ce qui profiterait aussi in fine au secteur de la defense.

Contacts :