Biden Renforce l’Innovation en Cybersécurité avec un Nouveau Décret

Introduction

Le 16 janvier 2025, le Président Biden a signé un décret exécutif (EO) portant sur le renforcement et la promotion de l’innovation dans la cybersécurité nationale, visant à répondre aux menaces croissantes des acteurs étatiques et des organisations criminelles en ligne. Ce décret s’inscrit dans la continuité des mesures antérieures, comme l’EO 14028, et propose des étapes supplémentaires pour sécuriser les infrastructures numériques du pays en renforçant la cybersécurité dans les systèmes fédéraux et en favorisant la coopération avec le secteur privé. Les principaux objectifs incluent l’amélioration du développement de logiciels sécurisés, la modernisation des technologies de l’information fédérales et le soutien au développement de technologies émergentes.

À quelques jours d’un changement d’administration, avec le nouvel Executive Order imposant de nombreuses actions à divers organismes avec des échéances qui s’étendent sur plusieurs mois, des interrogations persistent quant à la pérennisation de ce décret dans sa forme actuelle, à une éventuelle modification, ou à son retrait total. Nous anticipons une série d’actions exécutives à partir du 20 janvier, dont plusieurs viseront à annuler les directives de l’administration précédente. Bien que la cybersécurité soit attendue comme une priorité pour l’administration Trump, sa méthode pourrait diverger de celle de Biden. Les entreprises devraient surveiller de près ces développements.

Résumé des sections clés

Section 2. Opérationnalisation de la transparence et de la sécurité dans les chaînes d’approvisionnement logicielles tierces : Ce décret vise à pallier les vulnérabilités créées par les logiciels tiers. Il prévoit des modifications futures au Federal Acquisition Regulation (FAR), exigeant des fournisseurs de logiciels de présenter des attestations lisibles par machine et des documents justificatifs à la Cybersecurity and Infrastructure Security Agency (CISA), afin de démontrer leur conformité aux pratiques de développement de logiciels sécurisés. En outre, le Directeur national de la cybersécurité sera habilité à renvoyer les attestations invalidées au ministère de la Justice pour des actions supplémentaires. Le décret souligne également la nécessité d’améliorer les cadres de gestion des risques tiers et d’adopter des normes de sécurité rigoureuses pour les logiciels open-source.

Section 3. Amélioration de la cybersécurité des systèmes fédéraux : Les agences fédérales doivent adopter des mesures d’authentification résistantes au phishing, telles que WebAuthn, pour renforcer la sécurité des identités. Le décret mandate également la CISA pour diriger le déploiement de capacités robustes de détection et de réponse aux menaces (EDR) sur les réseaux fédéraux afin de permettre une détection rapide des menaces, le partage d’informations et l’atténuation des risques. De plus, il impose des mises à jour aux directives FedRAMP pour renforcer la sécurité des services cloud, exigeant que les fournisseurs de technologie alignent leurs offres sur ces nouvelles normes.

Section 4. Sécurisation des communications fédérales : Cette section se concentre sur l’amélioration de la sécurité des systèmes de communication fédéraux en imposant le chiffrement du trafic du système de noms de domaine (DNS), des transmissions d’e-mails, et des plateformes de communication modernes telles que les applications de vidéoconférence. Elle s’attaque également aux vulnérabilités des protocoles de routage Internet, notamment le protocole Border Gateway (BGP), crucial pour des communications Internet sécurisées et fiables. De plus, elle dirige les agences à se préparer à la transition vers la cryptographie post-quantique.

Section 5. Solutions pour lutter contre la cybercriminalité et la fraude : Afin de réduire les cas de fraude à l’identité, le décret promeut l’utilisation de documents d’identité numériques dans les programmes d’aide publique et préconise l’adoption de services de validation respectueux de la vie privée pour vérifier l’identité des utilisateurs sans compromettre d’informations sensibles. Il introduit également des programmes pilotes pour notifier les individus d’activités potentiellement frauduleuses en temps réel, permettant ainsi des actions préventives contre la cybercriminalité.

Section 6. Promotion de la sécurité dans l’intelligence artificielle : Le décret souligne le potentiel transformateur de l’intelligence artificielle (IA) dans le renforcement de la cybersécurité. Il prévoit l’établissement de programmes pilotes exploitant l’IA pour automatiser la détection de vulnérabilités, la gestion des correctifs et l’identification des menaces dans les systèmes de technologie de l’information et d’opérations. De plus, il priorise la recherche sur le développement de systèmes d’IA sécurisés et la création de grands ensembles de données pour favoriser le développement de solutions de cybersécurité alimentées par l’IA.

Section 7. Alignement des politiques sur les pratiques : Cette section impose une révision des politiques de l’Office of Management & Budget (OMB) pour les agences fédérales afin d’inclure la migration vers des architectures zero-trust, qui privilégient des contrôles d’accès stricts et une vérification continue des identités et des dispositifs des utilisateurs. Le décret introduit une approche "règles en tant que code" pour permettre la création de politiques de cybersécurité lisibles par machine, simplifiant ainsi la conformité et l’application réglementaire.

Section 8. Systèmes de sécurité nationale et impacts débilitants : Reconnaissant l’importance cruciale des systèmes de sécurité nationale (NSS) et des systèmes à impact débilitant, le décret nécessite des mises à jour des exigences pour ces systèmes afin de répondre aux menaces cybernétiques avancées. Cette section traite également de la menace envers les systèmes spatiaux, ordonnant un examen des politiques et directives pour la cybersécurité des systèmes spatiaux.

Section 9. Étapes supplémentaires pour lutter contre des activités malveillantes cybernétiques significatives : Le décret met à jour le langage du cadre de sanctions existant pour les activités malveillantes en cybersécurité pour couvrir spécifiquement les attaques par ransomware.

Bon à savoir

• Adoption de normes de sécurité : Les entreprises doivent anticiper la nécessité d’adopter des mesures de sécurité adaptées à ces nouvelles directives.
• **Importance de la coopération*** : La collaboration entre le secteur public et privé sera essentielle pour mettre en œuvre ces nouvelles normes.
• Surveillance des cybermenaces : Un suivi actif des nouvelles menaces et des tendances dans la cybersécurité sera crucial pour s’adapter rapidement aux changements.

En somme, cet Executive Order marque une étape importante dans l’évolution des politiques de cybersécurité aux États-Unis. Les entreprises et organismes devront naviguer avec soin dans ce nouveau cadre afin de protéger leurs infrastructures critiques tout en s’adaptant aux dynamiques changeantes de la cybersécurité mondiale. La question qui se pose désormais est celle de l’équilibre entre innovation technologique et protection des données dans un environnement de menace croissante.