Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

États-Unis : vers une structuration des échanges d’informations sur la cybersécurité

Il faut toujours qu'un drame survienne
Internet 3 min
États-Unis : vers une structuration des échanges d’informations sur la cybersécurité
Crédits : Chip Somodevilla/Getty Images News/Thinkstock

La semaine dernière, plusieurs annonces importantes ont été faites aux États-Unis sur le thème de la sécurité. Barack Obama a notamment présenté une nouvelle agence qui sera responsable de la concentration des informations sur les cybermenaces. Le président américain veut également obliger les entreprises à mieux communiquer sur les attaques dont elles ont été victimes, pour rendre la communication plus transparente.

Une nouvelle agence pour concentrer les informations utiles

Au lendemain des attentats du 11 septembre 2001, le gouvernement avait été critiqué : pourquoi les attaques n’avaient pas pu être empêchées malgré la débauche de moyens dont disposaient les États-Unis dans le domaine du renseignement ? Outre plusieurs lois, il en était ressorti qu’un manque cruel de communication entre les différentes agences était potentiellement à l’origine de cette défaillance, dont acte : le National Counterterrorism Center avait fait son apparition. Comme le souligne le Washington Post, la crise de sécurité autour du piratage de Sony Pictures a montré que le studio, le FBI, la NSA ou encore la CIA pouvaient intervenir publiquement avec des réponses différentes, créant la confusion.

Voilà pourquoi les États-Unis préparent la mise sur pied d’une nouvelle agence. Baptisée CTIIC, ou Cyber Threat Intelligence Integration Center, elle aura pour mission de concentrer toutes les informations au sujet des menaces de type électronique. L’objectif est simple : si une attaque est détectée ou prévue, les concernés auront un interlocuteur unique pour obtenir une image globale de la menace. Le projet de ce centre n’est pas neuf, mais le Post indique que c’est bien la crise Sony Pictures qui a accéléré les travaux.

Dans sa forme actuellement prévue, le CTIIC embauchera une cinquantaine de personnes et disposera d’un budget de 35 millions de dollars par année (susceptible évidemment d’être révisé). Son rôle sera essentiellement consultatif, dans le sens où il s’agira dans les grandes lignes d’une « banque d’informations ». Il n’aura aucun rôle opérationnel et ne procèdera donc à aucune activité directe de surveillance.

Les entreprises devront communiquer sur les attaques subies

Cette mesure s’accompagne d’une autre annonce importante, faite vendredi par Barack Obama : puisque la volonté de faire mieux communiquer les entreprises sur les attaques subies échoue à passer l’étape du Congrès, elle fait maintenant l’objet d’un décret présidentiel. En d’autres termes, et comme l’explique la Maison Blanche dans un communiqué, les entreprises auront l’obligation de déclarer qu’elles ont été attaquées.

La mesure se concentre sur plusieurs points :

  • La promotion de structures qui pourront servir de relais d’échanges d’informations,
  • L’obligation pour les entreprises de fournir les détails des attaques subies et donc d’avertir les autorités,
  • La mise en commun de certaines ressources et la possibilité pour les entreprises d’accéder plus facilement à des informations classifiées,
  • La création, par le Département de la sécurité intérieure (Homeland Security), d’une association à but non lucratif dont la mission sera de faire participer tous les acteurs concernés à la construction de standards auxquels devront répondre les échanges d’informations.

Alors que des entreprises comme Apple, Intel et Bank of America ont déjà indiqué qu’elles s’appuieraient sur la nouvelle structure, on notera certaines zones d’ombres. La plus importante réside dans le rapprochement accentué des entreprises, surtout les plus importantes d’entre elles, avec le gouvernement. Or, dans le sillage des révélations d’Edward Snowden notamment, ces relations troubles ont déjà fait l’objet de critiques acerbes.

Pour autant, la volonté de la Maison Blanche semble surtout de normaliser des flux d’informations qui sont, pour l’instant, disséminés. Les mesures actuellement prises devraient donc d’une part structurer les échanges pour unifier la communication, et d’autre part mettre un certain nombre d’informations en commun. Dans le cas de Sony Pictures, les conclusions auraient sans doute été moins discordantes et la prévention peut-être plus efficace.

En France, la situation n’est pas si tranchée, exception faite des opérateurs de téléphonie, comme indiqué dans l’article 34 bis de la loi modifiée du 6 janvier 1978 de la CNIL. Hors de ce champ spécifique, les entreprises n’ont pas d’obligation particulière de déclarer une brèche dans leurs défenses, mais la CNIL peut enquêter de sa propre initiative, d’autant plus facilement que ses pouvoirs ont été largement renforcés en 2013.

18 commentaires
Avatar de Ami-Kuns INpactien
Avatar de Ami-KunsAmi-Kuns- 17/02/15 à 07:25:55

On dirait la création de la Net Force de Tom Clancy.:eeek2: (Les livres pas les téléfilms).

Édité par Ami-Kuns le 17/02/2015 à 07:26
Avatar de Zyami Abonné
Avatar de ZyamiZyami- 17/02/15 à 07:40:45

Pourquoi ne pas créer directement une sorte de cyber police qui irait auditer les sites des entreprises, audit sur la sécurité des comptes; sécurisation des BdD je m'entend.

 Du style, on te laisse 15 jours pour sécuriser cela, tu le fais pas, on ferme ton site.

Je pense que ça en calmerait quelques un, du genre Sony qui stocke les MdP en clair, d'autres les adresses des clients voir le n° de CB.

 

Avatar de tazvld Abonné
Avatar de tazvldtazvld- 17/02/15 à 08:06:03

Sans être défenseur des statu quo, personnellement, ça pu le cheval de Troie. Alors oui, l'idée est bonne et charitable, mais je vous rappelle que la NSA faisait aussi la charité en faisant des audits de sécurités....

Avatar de Nikodym INpactien
Avatar de NikodymNikodym- 17/02/15 à 08:15:15

Sauf qu'ils protègent un peu leurs entreprises et économie.
Je ne pense pas qu'il viendrait à l'idée à Airbus ou Dassault de demander une expertise à NSA. :transpi:

Avatar de 127.0.0.1 INpactien
Avatar de 127.0.0.1127.0.0.1- 17/02/15 à 10:20:34

tazvld a écrit :

Sans être défenseur des statu quo, personnellement, ça pu le cheval de Troie. Alors oui, l'idée est bonne et charitable, mais je vous rappelle que la NSA faisait aussi la charité en faisant des audits de sécurités....

Les récentes déclarations de Obama sont claires.

Les USA ont créé Internet, les entreprises américaines sont les leaders incontestés d'Internet, et les gouvernements qui émettent des réserves/oppositions quand aux agissement de ces entreprises américaines ne font rien d'autre que du protectionnisme.

Voila, voila.

Avatar de anonyme_97254becd5c5b064755d6772703ed968 INpactien

les SI sont insécurisables, car à la base internet n'a pas été conçu pour.
Ce n'est hélas pas la solution ...

Changer nos comportements ne sera, bientôt, plus une option.

Avatar de Koxinga22 INpactien
Avatar de Koxinga22Koxinga22- 17/02/15 à 11:56:18

Ce fameux CTIIC va donc collecter les infos relatives aux attaques afin de les compulser et essayer d'en déduire quand et où se produira la prochaine attaque, ou bien de détecter des événements suspects.

Un antivirus IRL, quoi.
Sauf que pour la mise en quarantaine, il faudra s'appuyer sur un autre "module" comme les marines.

Édité par Koxinga22 le 17/02/2015 à 11:57
Avatar de malock Abonné
Avatar de malockmalock- 17/02/15 à 12:03:51

ledufakademy a écrit :

les SI sont insécurisables, car à la base internet n'a pas été conçu pour.
Ce n'est hélas pas la solution ...

Changer nos comportements ne sera, bientôt, plus une option.

Quel rapport entre les SI et internet ?
Bien sûr que si que les SI sont sécurisable, jamais au point d'atteindre un risque 0 par contre...
 

Avatar de feuille_de_lune INpactien
Avatar de feuille_de_lunefeuille_de_lune- 17/02/15 à 12:39:13

quand je lis des trucs comme ça, je deviens juste parano même si tout n'est pas forcément vrai....

Avatar de anonyme_97254becd5c5b064755d6772703ed968 INpactien

pfff.
J'en ai juste marre d'avoir raison jour après jour et de me répéter ... cela devient : usant.
Notre approche de la communication (au sens large) n'est pas bonne : l'IT en fait partie intégrante !

stp, télécharges Tor (I2P aussi) et vas faire des recherches sérieuses sur le supermarché des failles 0 day (soft ou hard d'ailleurs) site en .onion.

Il n'est plus possible de commenter cette actualité.
Page 1 / 2