Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Le secteur public, y compris les agences fédérales et d'État, est tout aussi exposé aux cyberattaques que le secteur privé. Pourtant, en termes d'adoption des technologies, le secteur public est connu pour être à la traîne par rapport au secteur privé, ce qui crée un environnement dans lequel certaines organisations gouvernementales ne parviennent pas à mettre en place une défense adéquate contre les acteurs de la menace..
Ces dernières années, le gouvernement fédéral et certaines organisations tierces ont introduit une série de normes visant à guider les efforts du secteur public en matière de cybersécurité. Nous présentons ici quelques-unes de ces normes et expliquons ce que les organisations gouvernementales et du secteur public (et leurs sous-traitants) peuvent faire pour s'y conformer.
Normes de cybersécurité pour le secteur public
Il existe une longue liste de normes de cybersécurité qui s'appliquent d'une manière ou d'une autre au secteur public. Les normes ci-dessous sont soit des réglementations d'origine gouvernementale, soit des normes qui ont des implications pour les institutions du secteur public :
- L'Institut national des normes et de la technologie (NIST) Institut national des normes et de la technologie (NIST) Cadre de cybersécurité (CSF) du National Institute of Standards and Technology (NIST) fournit des orientations pour la gestion des risques liés à la cybersécurité. Bien qu'il n'impose aucune action spécifique, il s'agit d'une ligne directrice couramment utilisée par les agences fédérales, les États et les collectivités locales.
- La loi sur la gestion de la sécurité de l'information fédérale (Federal Information Security Management Act) Loi sur la gestion de la sécurité de l'information fédérale (FISMA) prévoit que les agences fédérales doivent mettre en œuvre et maintenir des contrôles de sécurité appropriés pour protéger leurs informations et leurs systèmes. Les agences doivent suivre le CSF du NIST ainsi que d'autres lignes directrices et normes du NIST.
- La norme de sécurité des données de l'industrie des cartes de paiement ( Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) s'applique aux organisations qui traitent, stockent ou transmettent des informations relatives aux cartes de paiement. Cela inclut les organisations du secteur public qui traitent des données sensibles relatives aux cartes de paiement. La conformité à la norme PCI exige de respecter les spécifications de la norme - et la non-conformité peut entraîner des amendes.
- La loi sur la portabilité de l'assurance maladie (Health Insurance Portability and Accountability Act) Loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA) s'applique à toute organisation qui traite des informations de santé protégées (PHI), en particulier dans les environnements de conformité à la cybersécurité des soins de santé. Elle impose aux organisations concernées de mettre en œuvre des contrôles de sécurité appropriés pour protéger les PHI.
- L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) Agence pour la cybersécurité et la sécurité des infrastructures (CISA) comprend la certification du modèle de maturité de la cybersécurité (CMMC)Il s'agit d'un cadre de cybersécurité qui est, entre autres, utilisé par le ministère de la défense pour évaluer la position des contractants et des sous-traitants en matière de cybersécurité.
- L'Institut national des normes et de la technologie (NIST) Institut national des normes et de la technologie (NIST) SP 800-53 contient des lignes directrices pour la sélection et la mise en œuvre de contrôles de sécurité pour les systèmes d'information et les organisations. Elle est utilisée par les agences fédérales, mais s'applique également aux sous-traitants du gouvernement qui travaillent sur les réseaux informatiques fédéraux.
- L'Organisation internationale de normalisation Organisation internationale de normalisation (ISO) 27001 et (ISO) 27002 sont un exemple de normes non gouvernementales dont les enseignements sont pertinents pour le secteur public et qui s'appliquent donc aux organisations du secteur public puisqu'elles fournissent des lignes directrices pour la gestion de la sécurité de l'information.
Que pouvez-vous faire pour assurer la conformité ?
Selon les règles qui s'appliquent à votre organisation, les conséquences de la non-conformité varient. Mais, à tout le moins, les normes énumérées ci-dessus fournissent simplement de bons conseils qui valent la peine d'être suivis si vous voulez assurer la sécurité des données de votre organisation, éviter les attaques de ransomware et les temps d'arrêt.
Cependant, il n'est pas facile de se conformer systématiquement à la législation, et cela nécessite une approche stratégique soutenue par les bonnes ressources - et les bons outils. Voici quelques-unes des principales mesures que votre organisation doit prendre :
- Comprendre où se situent vos obligations. De nombreuses normes sont vastes et leur application varie d'une simple recommandation à un mandat absolu qui implique des amendes - ou pire. Pour y répondre avec succès, déterminez quels sont les mandats les plus critiques et les plus spécifiques, répondez d'abord à ces mandats, puis descendez dans la hiérarchie.
- Fixer des objectifs de cybersécurité au niveau du directeur. L'adhésion du niveau de la direction est essentielle pour respecter les obligations de conformité. Il ne s'agit pas d'un simple exercice de cochage de cases, mais d'une question de culture - et cette culture doit être transmise par le sommet de la hiérarchie.
- Fournir des ressources suffisantes aux efforts de mise en conformité en matière de cybersécurité. La complexité des environnements informatiques d'aujourd'hui, combinée à l'ampleur des menaces en matière de cybersécurité, s'additionne. La tâche est immense. Vous n'y parviendrez pas avec une équipe réduite au minimum, surtout si l'on considère le retour sur investissement en matière de cybersécurité d'un investissement proactif par rapport à une récupération réactive... Les ressources sont suffisantes.
- Commencer par les bonnes pratiques. Des principes de cybersécurité tels que l'AMF, la confiance zéro ou la surveillance et les audits constants. Ne partez pas du principe que les bonnes pratiques sont en place et ne minimisez pas l'importance de ce qui semble être une connaissance commune. Une grande partie des normes de cybersécurité n'est que la répétition de bonnes pratiques, et ce n'est pas pour rien. Appliquez de toute façon les principes les plus raisonnables.
- Envisager de faire appel à des consultants. Comme nous l'avons déjà dit, il s'agit d'un domaine complexe. Ne surestimez donc pas les capacités de vos équipes internes. C'est particulièrement vrai si vous commencez tout juste à vous intéresser à la conformité, car les consultants peuvent vous aider à ajouter un certain degré de perspective et de contexte à ce que vous devez réaliser. Toutefois, les consultants externes peuvent apporter un éclairage utile sur la réalité, même si vous disposez déjà d'une équipe expérimentée.
- Restez à la pointe de l'actualité. La cybersécurité est un domaine en constante évolution et les acteurs de la menace améliorent rapidement leur jeu, ce qui signifie que votre technologie de cybersécurité doit également suivre le rythme. Nous avons publié ici une liste utile des principales tendances en matière de cybersécurité.
- Appliquer des correctifs en direct dans la mesure du possible. L'application de correctifs est au cœur de nombreux cadres de cybersécurité, mais c'est aussi l'un des aspects de la conformité à la cybersécurité les plus difficiles à mettre en œuvre. L'application de correctifs en temps réel peut faire toute la différenceIl réduit les fenêtres de maintenance et les besoins en ressources, ainsi que le délai entre la publication et l'application des correctifs.
La mise en conformité en matière de cybersécurité exige, sans aucun doute, un effort concerté qui s'inscrit pleinement dans la culture de l'organisation.
Votre réponse doit être complète
Pour le secteur public, il s'agit de plusieurs niveaux de normes de cybersécurité. Certaines de ces normes sont facultatives, mais il est bon de s'y conformer. D'autres imposent des objectifs spécifiques, et les organisations qui sont couvertes mais ne parviennent pas à atteindre ces objectifs seront soumises à des sanctions.
Une réponse complète et globale est votre seule option. Comprenez ce que votre organisation doit faire pour rester conforme et obtenez toute l'aide possible : ressources internes, consultants et outils de défense de la cybersécurité les plus récents : y compris les correctifs en direct.
