Je signale une interview du directeur d'IMPACT. Cet organisme qui dépend de l'IUT a été créé pour tonifier une coopération internationale quelque peu défaillante en matière de cybercriminalité et attaques informatiques.
IMPACT est une organisation reliée à l'IUT qui porte le doux nom de "International Multilateral Partnership Against Cyber Threats ". son siège est situé en Malaisie.
Agence encore assez discrète, elle s'intègre dans les efforts faits par l'ITU dans le domaine de la cybersécurité. On se souviendra que l'IUT n'a quasiment aucun rôle dans la régulation de l'Internet dont elle a été dépossédée par les américains notamment.
En effet, l'ICANN a été créée sous l'ère Clinton dont on connait moins bien les très mauvais rapports avec l'ONU de façon générale. Par ailleurs, il apparait relativement sur que les USA aient souhaité éviter une prise en charge de la régulation d'Internet par une organisation internationale paralysée par les dysfonctionnements internes.
Cela explique ainsi le dynamisme de l'IUT en la matière et son souhait de reconquérir ce domaine.
IMPACT est donc à la fois une organisation visant à fédérer les efforts des États ainsi qu'à leur apporter des informations et des éléments d'analyse. Il faut tout de même retenir qu'IMPACT reste une organisation, pour le moment, stato-centrée.
Cela ne l'empêche de fédérer une diversité d'organisations ayant maille à partir avec les questions de sécurité informatique, cyberguerre et autre cyberterrorisme.
Existant depuis 2 ans (Mai 2008), son président reconnait une progression mesurée puisque sur les 191 pays de l'IUT, seuls 44 bénéficient de l'assistance de l'organisation et notamment de son Centre de Réponse (Global Response Center) qui n'est pas sans rappeler les CERT. L'organisation a également profondément évoluée (le "T" signifiant Terrorism) vers une approche plus globale de la menace sur Internet.
Cela dit, il faut reconnaître que l'activité de l'organisation est restée particulièrement dans l'ombre. Si elle apporte une note opérationnelle dans le domaine de la coopération dans la lutte contre les menaces informatiques, son positionnement parait délicat pour son avenir. N'oublions pas que les états ne sont pas forcément les acteurs le plus puissants du NET pour le moment.
Si la coopération est obligatoire pour remporter quelques succès contre la cybercriminalité ou autre, que celle-ci demeure cachée n'est pas un gage de confiance. C'est même le contraire dans un Internet très méfiant de l'autorité politique. L'initiative renouvelée d'Interpol qui consiste à proposer aux internautes de participer aux recherches de pédophile et cybercriminels parait plus encline à fédérer également l'internaute lambda, principal capteur d'informations sur le net.
A suivre donc..
Source :
http://www.zdnetasia.com/tackling-cyberthreats-championing-cyberpeace-62201158.htm
http://impact-alliance.org/index.html
mercredi 7 juillet 2010
Corée du Nord : Non-coupable !
Nous rappelions il y a peu, à l'occasion d'attaques informatiques relevées en Corée du Sud, que la Corée du Nord était désigné lors d'attaques il y a environ un an.
De récentes informations mettent la Corée du Nord hors de cause, attribuant même éventuellement la responsabilité de ces attaques à des provocateurs sud-coréens.
Une bonne occasion de rappeler qu'un phénomène équivalent, de remise en cause à posteriori des premiers résultats, avait eu lieu pour les attaques en Estonie.
Les attaques informatiques restent donc très délicates à attribuer, ce qui rend toute tactique de type dissuasion ou autre particulièrement inefficaces.
Un bel exemple qui devrait faire réfléchir !
Source :
http://news.hostexploit.com/cyberwar-news/4117-north-korea-not-responsible-for-4-july-cyberattacks.html
De récentes informations mettent la Corée du Nord hors de cause, attribuant même éventuellement la responsabilité de ces attaques à des provocateurs sud-coréens.
Une bonne occasion de rappeler qu'un phénomène équivalent, de remise en cause à posteriori des premiers résultats, avait eu lieu pour les attaques en Estonie.
Les attaques informatiques restent donc très délicates à attribuer, ce qui rend toute tactique de type dissuasion ou autre particulièrement inefficaces.
Un bel exemple qui devrait faire réfléchir !
Source :
http://news.hostexploit.com/cyberwar-news/4117-north-korea-not-responsible-for-4-july-cyberattacks.html
mardi 29 juin 2010
Piranet 2010 : le reflet d'une façon de faire
Piranet 2010 a bien eu lieu : la France est donc protégée contre les attaques informatiques !
Celui-ci s'est déroulé du 23 au 24 Juin 2010 et fait partie des 4 exercices annuels de gestion de crise organisé par le SGDSN mais portait spécifiquement sur un cas de crise informatique de grande ampleur.
Il aurait notamment permis de mettre en avant la complexité de la prise de décision dans un contexte de communication profondément dégradé.
Cet exercice s'inscrit dans les prescriptions du plan PIRANET (sorte de vigipirate pour les crises informatiques..pardon pour le raccourci !).
J'avoue être particulièrement content de pouvoir lire des éléments à ce sujet. En revanche, tant le plan PIRANET que le contenu précis du scénario demeurent secret. On est donc condamné à juger par communiqué de presse interposé.
J'en profite donc pour vous redonner quelques liens des mes posts précédents sur les exercices menés notamment dans d'autres pays : USA notamment et plusieurs autres pays.
En particulier, on constatera que beaucoup plus d'information est disponible notamment sur Cybershockwave et les deux exercices cyberstorm.
J'avoue croire que la sécurité des systèmes d'informations bénéficie des échanges les plus nourris. Je crois aussi fermement aux bénéfices du secret dans certain contexte.
Je crois cependant, que dans ce cas précis, on serait rassuré sur nos capacités de défense informatique si un plus d'informations étaient divulguées.
A voir donc :
http://cidris-news.blogspot.com/2010/02/retex-sur-cyber-shock-wave-3.html
http://cidris-news.blogspot.com/2010/02/cnn-reportage-sur-shockwave.html
http://cidris-news.blogspot.com/2010/05/paroles-du-first-international-cyber.html
Source : http://www.ssi.gouv.fr/site_article248.html
Celui-ci s'est déroulé du 23 au 24 Juin 2010 et fait partie des 4 exercices annuels de gestion de crise organisé par le SGDSN mais portait spécifiquement sur un cas de crise informatique de grande ampleur.
Il aurait notamment permis de mettre en avant la complexité de la prise de décision dans un contexte de communication profondément dégradé.
Cet exercice s'inscrit dans les prescriptions du plan PIRANET (sorte de vigipirate pour les crises informatiques..pardon pour le raccourci !).
J'avoue être particulièrement content de pouvoir lire des éléments à ce sujet. En revanche, tant le plan PIRANET que le contenu précis du scénario demeurent secret. On est donc condamné à juger par communiqué de presse interposé.
J'en profite donc pour vous redonner quelques liens des mes posts précédents sur les exercices menés notamment dans d'autres pays : USA notamment et plusieurs autres pays.
En particulier, on constatera que beaucoup plus d'information est disponible notamment sur Cybershockwave et les deux exercices cyberstorm.
J'avoue croire que la sécurité des systèmes d'informations bénéficie des échanges les plus nourris. Je crois aussi fermement aux bénéfices du secret dans certain contexte.
Je crois cependant, que dans ce cas précis, on serait rassuré sur nos capacités de défense informatique si un plus d'informations étaient divulguées.
A voir donc :
http://cidris-news.blogspot.com/2010/02/retex-sur-cyber-shock-wave-3.html
http://cidris-news.blogspot.com/2010/02/cnn-reportage-sur-shockwave.html
http://cidris-news.blogspot.com/2010/05/paroles-du-first-international-cyber.html
Source : http://www.ssi.gouv.fr/site_article248.html
lundi 28 juin 2010
.........AVIS A LA POPULATION.....
Méritoire qui suit régulièrement mes publications longues (un peu) et insipides (j'espère pas trop !)
Quoi qu'il en soit, ce blog se modernise et va effectuer dés à présent une modification des flux utilisés pour l'actualisation...les RSS quoi !
Vous êtes donc tous cordialement invités à utiliser désormais l'adresse suivante : http://feeds.feedburner.com/Cidris-Cyberwarfare
Que vous entrerez, si vous le voulez bien, dans votre lecteur de flux préféré !
Par avance, merci !
CIDRIS
Quoi qu'il en soit, ce blog se modernise et va effectuer dés à présent une modification des flux utilisés pour l'actualisation...les RSS quoi !
Vous êtes donc tous cordialement invités à utiliser désormais l'adresse suivante : http://feeds.feedburner.com/Cidris-Cyberwarfare
Que vous entrerez, si vous le voulez bien, dans votre lecteur de flux préféré !
Par avance, merci !
CIDRIS
Brève sur le "Cybersecurity Bill"
EDIT: Un article récent proposé par un éminent juriste, ou du moins, un homme versé dans la lecture des arcanes juridiques américaines nous propose une information récente.
Ainsi, une loi de 1934, le Communication Act autorise le Président, en temps de guerre notamment mais aussi en cas de désastre national, à couper ou à ordonner la coupure de toutes les émissions produites par des appareils électro-magnétiques.
Par ailleurs, poursuivant son analyse, l'auteur reprend les dispositions du Cybersecurity Bill et montre qu'il n'existe, en tant que tel, aucun "kill switch" mais bel et bien des dispositions inhérentes à une situation de crise permettant au Président d'obliger les responsables de réseaux civils à prendre certaines décisions et/ou postures. Par exemple, obliger l'équivalent des OIV à mettre en place des plans de gestion de crises...
====================================================================================
Le projet de loi global sur la cybersécurité dont nous parlions il y a peu encore s'est vu approuvé par la Commission du Sénat pour la Sécurité Intérieure et les affaires publiques (The Senate Homeland Security and Governmental Affairs Committee).
Ce projet de Loi proposé par les Sénateurs Lieberman, Collins et Carper pose d'ores et déjà de nouveaux challenges notamment en raison du fait qu'il entre potentiellement en conflit avec d'autres projets déposés plus tôt dans l'année (on en parle également dans le post précédent). A ce sujet, rappelons qu'il existe actuellement une vingtaine de projets sur le sujets dans les cartons en attente du Congrès...Chacun voulant y aller de SA loi !!!
Malgré ces efforts méritoires de synthèse, ce projet de loi est loin de faire l'unanimité. Le Sénateur Bond (ça ne s'invente pas !) affirme ainsi que la place faite au DHS (Department of Homeland Security) y est bien trop grande pour deux raisons principales : une certaine inefficacité dans la capacité à gérer les efforts en matière de sécurité de l'information et un périmètre d'action déjà bien élargi.
Il s'agit bien évidemment de politique bien sentie : le Sénateur McCain affirmait ainsi que les capacités de réponses du DHS étaient compromis après l'attentat manqué à Times Square.
C'est pourquoi les Sénateurs Bond et Hatch ont présenté récemment leur propre projet de loi sur la cybersécurité. Ayant le mérite de la simplicité, celui-ci propose la création d'un unique poste de coordinateur, dépendant du Ministère de la Défense mais rapportant directement au Président. Comme il est d'usage pour le Congrès, ce coordinateur serait approuvé par l'assemblée parlementaire qui tient à garder ainsi un contrôle.
Au contraire l'actuel coordinateur, Howard Schmidt n'a pas eu à passer par cet exercice délicat de passage devant les "juges" politiques que constituent les parlementaires lors de ces occasions.
Par ailleurs, le cybersecurity center que propose ce projet de loi dépendrait du ministère de l'Energie, ce qui est cohérent avec la préoccupation constante de la "Smart Grid" et des craintes occasionnés par les coupures de courant, soi-disant en lien avec des attaques informatiques. Pour le reste, voyez Die Hard 4 :) !
Cela dit, il existe une vraie logique opérationnelle dans le fait de créer ce centre dans un ministère en charge des questions de l'énergie. Comme l'a montré un récent colloque, les SCADA constituent encore le "parent pauvre" de la SSI. Cela dit, la sécurité de l'information n'est pas qu'une question industrielle et pour une fois, je me dois de rappeler que les réseaux traitant les aspects administratifs ou encore financiers sont susceptibles de causer de TRES sérieux dommages à la vie d'une société (cf. Estonie...).
S'il est vrai que l'effort parait un peu disproportionné et un peu trop infiltré par le politique, on peut se demander ce qu'il existe en France... Le reproche ici serait sans doute double :
=> le manque d'une législation claire (Les lois Godfrain sont-elles encore adaptées ? Les incitations à la SSI sont-elles suffisantes ? la LCEN et le statut hébergeur/éditeur :( !!!, HADOPI (pfiuuuu) ).
=> le manque de visibilité sur les autorités en charge de ces questions et d'interlocuteurs évident pour les entreprises (quoique l'ANSSI commence à être connue !)
=> l'absence de visibilité sur la stratégie : le Livre Blanc en fait trop PEU (à mon goût) et les rapports parlementaires sur le sujets, bien qu'excellents dans l'ensemble, restent des documents cantonés à un public spécialisé...
On ne peut donc dire que RIEN n'existe en France, ce serait médire. On pourrait, en revanche, souhaiter un peu plus de visibilité et d'ouverture, éventuellement...Et cela reste un avis personnel (il faut le préciser même si c'est un blog!).
Source :
http://gcn.com/articles/2010/06/28/no--kill-switch-in-lieberman-collins-bill.aspx
http://thehill.com/blogs/hillicon-valley/technology/105721-sen-bond-says-dhs-shouldnt-oversee-cybersecurity
http://fcw.com/articles/2010/06/25/web-lieberman-collins-bill.aspx
Ainsi, une loi de 1934, le Communication Act autorise le Président, en temps de guerre notamment mais aussi en cas de désastre national, à couper ou à ordonner la coupure de toutes les émissions produites par des appareils électro-magnétiques.
Par ailleurs, poursuivant son analyse, l'auteur reprend les dispositions du Cybersecurity Bill et montre qu'il n'existe, en tant que tel, aucun "kill switch" mais bel et bien des dispositions inhérentes à une situation de crise permettant au Président d'obliger les responsables de réseaux civils à prendre certaines décisions et/ou postures. Par exemple, obliger l'équivalent des OIV à mettre en place des plans de gestion de crises...
====================================================================================
Le projet de loi global sur la cybersécurité dont nous parlions il y a peu encore s'est vu approuvé par la Commission du Sénat pour la Sécurité Intérieure et les affaires publiques (The Senate Homeland Security and Governmental Affairs Committee).
Ce projet de Loi proposé par les Sénateurs Lieberman, Collins et Carper pose d'ores et déjà de nouveaux challenges notamment en raison du fait qu'il entre potentiellement en conflit avec d'autres projets déposés plus tôt dans l'année (on en parle également dans le post précédent). A ce sujet, rappelons qu'il existe actuellement une vingtaine de projets sur le sujets dans les cartons en attente du Congrès...Chacun voulant y aller de SA loi !!!
Malgré ces efforts méritoires de synthèse, ce projet de loi est loin de faire l'unanimité. Le Sénateur Bond (ça ne s'invente pas !) affirme ainsi que la place faite au DHS (Department of Homeland Security) y est bien trop grande pour deux raisons principales : une certaine inefficacité dans la capacité à gérer les efforts en matière de sécurité de l'information et un périmètre d'action déjà bien élargi.
Il s'agit bien évidemment de politique bien sentie : le Sénateur McCain affirmait ainsi que les capacités de réponses du DHS étaient compromis après l'attentat manqué à Times Square.
C'est pourquoi les Sénateurs Bond et Hatch ont présenté récemment leur propre projet de loi sur la cybersécurité. Ayant le mérite de la simplicité, celui-ci propose la création d'un unique poste de coordinateur, dépendant du Ministère de la Défense mais rapportant directement au Président. Comme il est d'usage pour le Congrès, ce coordinateur serait approuvé par l'assemblée parlementaire qui tient à garder ainsi un contrôle.
Au contraire l'actuel coordinateur, Howard Schmidt n'a pas eu à passer par cet exercice délicat de passage devant les "juges" politiques que constituent les parlementaires lors de ces occasions.
Par ailleurs, le cybersecurity center que propose ce projet de loi dépendrait du ministère de l'Energie, ce qui est cohérent avec la préoccupation constante de la "Smart Grid" et des craintes occasionnés par les coupures de courant, soi-disant en lien avec des attaques informatiques. Pour le reste, voyez Die Hard 4 :) !
Cela dit, il existe une vraie logique opérationnelle dans le fait de créer ce centre dans un ministère en charge des questions de l'énergie. Comme l'a montré un récent colloque, les SCADA constituent encore le "parent pauvre" de la SSI. Cela dit, la sécurité de l'information n'est pas qu'une question industrielle et pour une fois, je me dois de rappeler que les réseaux traitant les aspects administratifs ou encore financiers sont susceptibles de causer de TRES sérieux dommages à la vie d'une société (cf. Estonie...).
S'il est vrai que l'effort parait un peu disproportionné et un peu trop infiltré par le politique, on peut se demander ce qu'il existe en France... Le reproche ici serait sans doute double :
=> le manque d'une législation claire (Les lois Godfrain sont-elles encore adaptées ? Les incitations à la SSI sont-elles suffisantes ? la LCEN et le statut hébergeur/éditeur :( !!!, HADOPI (pfiuuuu) ).
=> le manque de visibilité sur les autorités en charge de ces questions et d'interlocuteurs évident pour les entreprises (quoique l'ANSSI commence à être connue !)
=> l'absence de visibilité sur la stratégie : le Livre Blanc en fait trop PEU (à mon goût) et les rapports parlementaires sur le sujets, bien qu'excellents dans l'ensemble, restent des documents cantonés à un public spécialisé...
On ne peut donc dire que RIEN n'existe en France, ce serait médire. On pourrait, en revanche, souhaiter un peu plus de visibilité et d'ouverture, éventuellement...Et cela reste un avis personnel (il faut le préciser même si c'est un blog!).
Source :
http://gcn.com/articles/2010/06/28/no--kill-switch-in-lieberman-collins-bill.aspx
http://thehill.com/blogs/hillicon-valley/technology/105721-sen-bond-says-dhs-shouldnt-oversee-cybersecurity
http://fcw.com/articles/2010/06/25/web-lieberman-collins-bill.aspx
mercredi 23 juin 2010
DARPA - Cyber Range : un bac à sable de la cyberguerre
L'histoire commence dans les années 1950..ou presque. Plus exactement, pour la première fois, le Congrès américain donne un ordre direct à l'agence de Recherche sur les Programmes Avancés (DARPA) : celui de concurrencer le programme Sputnik !
Même Internet qui doit son existence aux chercheurs de cette agence ne provenait pas d'une telle demande mais d'un besoin militaire naturel : continuer à communiquer en cas d'attaques nucléaires.
Cependant, le Congrès donna par la suite, en 2008, un second ordre direct à la DARPA : créer un environnement permettant de lancer de véritables attaques informatiques de type militaire, du type de celles pouvant être lancées dans le cas de conflits ouverts. C'était la naissance du "National Cyber Range".
Plus précisément, ce projet devait permettre de :
=> Analyser une capacité de domination au niveau de l'information dans un environnement en réseau proche de la réalité
=> Représenter le futur des systèmes de défenses et de combats américains, au sein de réseaux hétérogènes, de grande taille, que ce soit dans les domaines virtuels ou réels.
=> Etre capable de fournir un environnement proche de l'internet actuel afin d'y tester des capacités offensives et défensives.
Ce réseau devrait présenter des capacités étonnantes notamment en représentant des comportements humains par exemple. Doté d'un budget de 130 millions de dollars, ce projet fut comparé, par le New-York Times, à l'Atoll Bikini du cybersespace, un ensemble d'îlots utilisés pour tester les bombes thermo-nucléaires...
Cependant, ce projet, bien qu'exaltant d'un point de vue intellectuel semble connaitre des ratés, il serait à la fois tellement demandé et en retard que plusieurs composantes militaires auraient déjà mis en place, ou seraient en train de le faire, des capacités de tests de cyberconflits.
La 1Oth Flotte de la Navy qui constitue le "Navy Cyber Command" souhaite ainsi développer un tel système au sein du "Network Warfare Command" tandis que la NSA prévoit d'en construire un à Fort Meade. De son côté, la 24th Air Force qui arme l'Air Force Cyber Command (disparu en tant que tel puis réactivé au sein de la 24th) déclare aussi ses intentions en la matières.
D'un autre côté, la U.S. Air Force’s Big Safari est une unité assez secrète, connue notamment pour ses étonnantes capacités à gérer très rapidement et efficacement des projets assez techniques et des domaines pointus (missiles, drones, matériels d'acquisition vidéos embarqués..). Cette rapidité d'exécution est ainsi lorgnée dans le cas de la construction du cyber range.
Ces informations apportent un éclairage intéressant sur les réelles capacités et souhaits des Etats-Unis dans la matière. De par leur très grande liberté de publication (comparée à celle existant en France), il est parfois permis de douter de certaines de leurs capacités au vu de leur propension à s'auto-flageller. En revanche, on connait également la NSA, le nombre de ses mathématiciens et on doute effectivement un peu moins de leurs capacités.
Le National Cyber Range constitue donc un objectif identifié de construction et de mise en oeuvre d'un moyen réel de tests "d'armes" utilisables dans le cyberespace. Une initiative qui, donc, éclaire sur le niveau doctrinal et le niveau opérationnel que souhaite atteindre les Etats-Unis.
Ah..si on pouvait en savoir un peu plus en France :) !
Sources:
http://www.wired.com/dangerroom/2008/05/the-pentagon-wa-2/
http://www.aviationweek.com/aw/generic/story_channel.jsp?channel=defense&id=news/asd/2010/06/21/03.xml&headline=Battle%20For%20Cyber-Range:%20Military%20Dumps%20Darpa%3E
http://www.wired.com/dangerroom/2010/06/darpa-taking-fire-for-its-cyberwar-range
Même Internet qui doit son existence aux chercheurs de cette agence ne provenait pas d'une telle demande mais d'un besoin militaire naturel : continuer à communiquer en cas d'attaques nucléaires.
Cependant, le Congrès donna par la suite, en 2008, un second ordre direct à la DARPA : créer un environnement permettant de lancer de véritables attaques informatiques de type militaire, du type de celles pouvant être lancées dans le cas de conflits ouverts. C'était la naissance du "National Cyber Range".
Plus précisément, ce projet devait permettre de :
=> Analyser une capacité de domination au niveau de l'information dans un environnement en réseau proche de la réalité
=> Représenter le futur des systèmes de défenses et de combats américains, au sein de réseaux hétérogènes, de grande taille, que ce soit dans les domaines virtuels ou réels.
=> Etre capable de fournir un environnement proche de l'internet actuel afin d'y tester des capacités offensives et défensives.
Ce réseau devrait présenter des capacités étonnantes notamment en représentant des comportements humains par exemple. Doté d'un budget de 130 millions de dollars, ce projet fut comparé, par le New-York Times, à l'Atoll Bikini du cybersespace, un ensemble d'îlots utilisés pour tester les bombes thermo-nucléaires...
Cependant, ce projet, bien qu'exaltant d'un point de vue intellectuel semble connaitre des ratés, il serait à la fois tellement demandé et en retard que plusieurs composantes militaires auraient déjà mis en place, ou seraient en train de le faire, des capacités de tests de cyberconflits.
La 1Oth Flotte de la Navy qui constitue le "Navy Cyber Command" souhaite ainsi développer un tel système au sein du "Network Warfare Command" tandis que la NSA prévoit d'en construire un à Fort Meade. De son côté, la 24th Air Force qui arme l'Air Force Cyber Command (disparu en tant que tel puis réactivé au sein de la 24th) déclare aussi ses intentions en la matières.
D'un autre côté, la U.S. Air Force’s Big Safari est une unité assez secrète, connue notamment pour ses étonnantes capacités à gérer très rapidement et efficacement des projets assez techniques et des domaines pointus (missiles, drones, matériels d'acquisition vidéos embarqués..). Cette rapidité d'exécution est ainsi lorgnée dans le cas de la construction du cyber range.
Ces informations apportent un éclairage intéressant sur les réelles capacités et souhaits des Etats-Unis dans la matière. De par leur très grande liberté de publication (comparée à celle existant en France), il est parfois permis de douter de certaines de leurs capacités au vu de leur propension à s'auto-flageller. En revanche, on connait également la NSA, le nombre de ses mathématiciens et on doute effectivement un peu moins de leurs capacités.
Le National Cyber Range constitue donc un objectif identifié de construction et de mise en oeuvre d'un moyen réel de tests "d'armes" utilisables dans le cyberespace. Une initiative qui, donc, éclaire sur le niveau doctrinal et le niveau opérationnel que souhaite atteindre les Etats-Unis.
Ah..si on pouvait en savoir un peu plus en France :) !
Sources:
http://www.wired.com/dangerroom/2008/05/the-pentagon-wa-2/
http://www.aviationweek.com/aw/generic/story_channel.jsp?channel=defense&id=news/asd/2010/06/21/03.xml&headline=Battle%20For%20Cyber-Range:%20Military%20Dumps%20Darpa%3E
http://www.wired.com/dangerroom/2010/06/darpa-taking-fire-for-its-cyberwar-range
lundi 21 juin 2010
Compléments sur le "Protecting Cyberspace as a National Asset Act of 2010"
Ce projet de loi, en attente de passage devant le Sénat, avait déjà fait l'objet d'une analyse dans un message précédent ainsi que dans un autre, plus ancien.
Il se définit comme une stratégie global visant à assurer une forme de domination et de maîtrise du cyberespace américain. Encore à l'état de projet de loi ("Bill"), il est susceptible de devenir une des pièces maitresses de la stratégie américaine en la matière, en excluant cependant l'aspect militaire des choses.
Cela dit, ce projet de loi semble intégrer l'aspect défensif proposé dans un autre projet de loi qui visait à donner au Président le pouvoir de couper Internet pour tout ou partie des Etats-Unis. Les aspects plus consensuels du projet, notamment l'aspect encadrement des efforts "FISMA" ou encore la pérennité des postes de type cyberczar dans des officies dédiées à la Maison Blanche, faisaient également partie d'un autre projet proposé par le Sénateur Langevin...
Washington et ses surprises politiques....
Quoi qu'il en soit, voici donc une liste des modifications apportées par ce projet de loi qui semble se faire une synthèse de ce qui a été observé durant ces derniers mois :
=> Création d'un "Office of Cyberspace Policy" directement lié au Président (Executive Office) chargé de la coordination. C'est peu ou prou la fonction actuelle du Cyberczar mais elle est ainsi pérennisée et placée sous la tutelle du Sénat (qui détient la faculté de nomination).
=> Création d'un National Center for Cybersecurity and Communications au sein du DHS dont le directeur sera nommé par le Sénat. Cette nouvelle organisation englobera l'US-CERT et aura une vocation de conseil sur la sécurité des réseaux civils (le militaire étant à part et géré par l'US CYBERCOM et la NSA pour ce que l'on en sait).
=> Ce projet modifie aussi considérablement le FISMA qui obligeait le secteur public à atteindre un niveau de sécurité donné. L'approche n'a pas donné de bons résultats car les agences cherchaient plus à être conformes aux audits qu'à élever le niveau de sécurité. Les leviers d'incitations sont donc revus.
=> le NCCC devra travailler avec le secteur privé et en particulier, les organisations critiques pour assurer un niveau de sécurité globale plus élevé. Par ailleurs, cette approche sera basée sur des analyses de risques.
=> Ce point est particulièrement important : il met en place un partage d'informations obligatoires et organisé entre le NCCC et les opérateurs d'importance vitale locaux. Ceux-ci doivent fournir des informations sur leurs incidents de sécurité afin de permettre une vue globale en contrepartie d'échanges d'informations sur les risques et les menaces.
Par ailleurs, le projet de loi préconise que le Président soit doté de pouvoirs spéciaux lui permettant notamment d'activité, en cas de crise, des mesures d'urgences ayant des effets sur les réseaux privés. En revanche, et c'est à noter, contrairement au projet de loi cité plus haut,le Président ne pourra pas autoriser une forme de "loi martiale" sur les réseaux privés. Les mesures d'urgences sont par ailleurs déclarées au Congrès avant leur application et ne peuvent excéder 30 jours. Elles doivent également être les moins "fortes" possibles.
=> Le texte de loi évoque une "supply chain" gérée en considérant plus attentivement les risques encourus. Cela fait notamment référence aux produits et matériels réseaux et informatiques qui peuvent être sources d'assez importants problèmes (monopoles, portes dérobées sur certains routeurs de grandes marques etc...)
=> Parmi les derniers points traités, le besoin de recruter des équipes compétentes autour des questions de sécurité de l'information.
En conclusion, ce texte de loi, non définitivement voté propose une réforme assez profonde du système de "cyber-sécurité" américain, au niveau du gouvernement, de l'administration et des différentes agences.
Au delà des questions organisationnelles mouvantes auxquelles nous sommes désormais habitués, il est intéressant de constater plusieurs points :
=> l'inefficacité des approches "par la conformité pure"
=> l'approche globale : humaine, légale, organisationnelle et matérielle...On retrouve en effet ces 4 dimensions usuelles de la sécurité au sein d'un même texte.
=> un équilibre institutionnel plus prononcé avec un encadrement des pouvoirs du Président et le retour du Congrès, ce qui rompt avec un unilatéralisme plus prononcé du prédécesseur.
En somme, un texte qui pourrait faire date et nous inspirer !
Source :
http://gcn.com/Articles/2010/06/21/Editorial-on-A-Cyber-Bill-Worth-Enacting.aspx?Page=1
http://hsgac.senate.gov/public/index.cfm?FuseAction=Press.MajorityNews&ContentRecord_id=227d9e1e-5056-8059-765f-2239d301fb7f
Il se définit comme une stratégie global visant à assurer une forme de domination et de maîtrise du cyberespace américain. Encore à l'état de projet de loi ("Bill"), il est susceptible de devenir une des pièces maitresses de la stratégie américaine en la matière, en excluant cependant l'aspect militaire des choses.
Cela dit, ce projet de loi semble intégrer l'aspect défensif proposé dans un autre projet de loi qui visait à donner au Président le pouvoir de couper Internet pour tout ou partie des Etats-Unis. Les aspects plus consensuels du projet, notamment l'aspect encadrement des efforts "FISMA" ou encore la pérennité des postes de type cyberczar dans des officies dédiées à la Maison Blanche, faisaient également partie d'un autre projet proposé par le Sénateur Langevin...
Washington et ses surprises politiques....
Quoi qu'il en soit, voici donc une liste des modifications apportées par ce projet de loi qui semble se faire une synthèse de ce qui a été observé durant ces derniers mois :
=> Création d'un "Office of Cyberspace Policy" directement lié au Président (Executive Office) chargé de la coordination. C'est peu ou prou la fonction actuelle du Cyberczar mais elle est ainsi pérennisée et placée sous la tutelle du Sénat (qui détient la faculté de nomination).
=> Création d'un National Center for Cybersecurity and Communications au sein du DHS dont le directeur sera nommé par le Sénat. Cette nouvelle organisation englobera l'US-CERT et aura une vocation de conseil sur la sécurité des réseaux civils (le militaire étant à part et géré par l'US CYBERCOM et la NSA pour ce que l'on en sait).
=> Ce projet modifie aussi considérablement le FISMA qui obligeait le secteur public à atteindre un niveau de sécurité donné. L'approche n'a pas donné de bons résultats car les agences cherchaient plus à être conformes aux audits qu'à élever le niveau de sécurité. Les leviers d'incitations sont donc revus.
=> le NCCC devra travailler avec le secteur privé et en particulier, les organisations critiques pour assurer un niveau de sécurité globale plus élevé. Par ailleurs, cette approche sera basée sur des analyses de risques.
=> Ce point est particulièrement important : il met en place un partage d'informations obligatoires et organisé entre le NCCC et les opérateurs d'importance vitale locaux. Ceux-ci doivent fournir des informations sur leurs incidents de sécurité afin de permettre une vue globale en contrepartie d'échanges d'informations sur les risques et les menaces.
Par ailleurs, le projet de loi préconise que le Président soit doté de pouvoirs spéciaux lui permettant notamment d'activité, en cas de crise, des mesures d'urgences ayant des effets sur les réseaux privés. En revanche, et c'est à noter, contrairement au projet de loi cité plus haut,le Président ne pourra pas autoriser une forme de "loi martiale" sur les réseaux privés. Les mesures d'urgences sont par ailleurs déclarées au Congrès avant leur application et ne peuvent excéder 30 jours. Elles doivent également être les moins "fortes" possibles.
=> Le texte de loi évoque une "supply chain" gérée en considérant plus attentivement les risques encourus. Cela fait notamment référence aux produits et matériels réseaux et informatiques qui peuvent être sources d'assez importants problèmes (monopoles, portes dérobées sur certains routeurs de grandes marques etc...)
=> Parmi les derniers points traités, le besoin de recruter des équipes compétentes autour des questions de sécurité de l'information.
En conclusion, ce texte de loi, non définitivement voté propose une réforme assez profonde du système de "cyber-sécurité" américain, au niveau du gouvernement, de l'administration et des différentes agences.
Au delà des questions organisationnelles mouvantes auxquelles nous sommes désormais habitués, il est intéressant de constater plusieurs points :
=> l'inefficacité des approches "par la conformité pure"
=> l'approche globale : humaine, légale, organisationnelle et matérielle...On retrouve en effet ces 4 dimensions usuelles de la sécurité au sein d'un même texte.
=> un équilibre institutionnel plus prononcé avec un encadrement des pouvoirs du Président et le retour du Congrès, ce qui rompt avec un unilatéralisme plus prononcé du prédécesseur.
En somme, un texte qui pourrait faire date et nous inspirer !
Source :
http://gcn.com/Articles/2010/06/21/Editorial-on-A-Cyber-Bill-Worth-Enacting.aspx?Page=1
http://hsgac.senate.gov/public/index.cfm?FuseAction=Press.MajorityNews&ContentRecord_id=227d9e1e-5056-8059-765f-2239d301fb7f
Inscription à :
Articles (Atom)
