Les cybermenaces contre les infrastructures publiques sont passées des risques théoriques aux préoccupations opérationnelles quotidiennes des gouvernements des États et des collectivités locales partout aux États-Unis.Les attaques contre les réseaux électriques, les stations de traitement de l'eau, les réseaux de transport et les systèmes de santé peuvent mettre fin aux services essentiels, mettre en danger des vies et éroder la confiance du public.

Cet article examine comment les organismes d'application de la loi des États s'attaquent aux menaces à la cybersécurité qui pèsent sur les infrastructures publiques, aux obstacles auxquels ils font face et aux stratégies visant à accroître leur efficacité.

Le paysage en évolution des menaces pour les infrastructures publiques

Les infrastructures publiques englobent une vaste gamme de biens essentiels à la vie quotidienne et à la sécurité nationale, dont les secteurs les plus souvent visés sont l'énergie (réseaux électriques, gazoducs), les systèmes d'approvisionnement en eau et d'assainissement, les transports (routes, aéroports, rail, transit), les installations de soins de santé, les services d'urgence (police, incendie, SGE) et les réseaux gouvernementaux.

Acteurs de menaces et leurs motivations

Les cyberattaques contre les infrastructures publiques proviennent de sources multiples.Les acteurs des États-nations ciblent souvent l'énergie et le transport pour l'espionnage, la perturbation ou l'effet de levier géopolitique.Les groupes criminels déploient des ransomwares pour extorquer de l'argent aux hôpitaux, aux administrations municipales et aux services publics.Les pirates peuvent attaquer les infrastructures pour protester contre les politiques ou sensibiliser les gens aux questions sociales.

La surface d'attaque continue de s'étendre à mesure que les services publics adoptent des technologies de réseau intelligent, que les systèmes d'approvisionnement en eau utilisent la surveillance à distance et que les agences de transport déploient des capteurs connectés à Internet.

Incidents récents à haute qualité

Plusieurs incidents récents soulignent l'urgence de la cybersécurité au niveau de l'État.En février 2021, un pirate a accédé au système de traitement de l'eau à Oldsmar, en Floride, et a tenté d'augmenter le niveau d'hydroxyde de sodium à une concentration dangereuse. L'attaque a été déjouée par un opérateur observateur, mais il a démontré combien facilement un attaquant à distance pouvait menacer la sécurité publique.

Les attaques contre les gouvernements locaux ont également augmenté. La ville d'Atlanta, Baltimore, et de nombreuses petites municipalités ont dû faire face à des demandes d'extorsion de plusieurs millions de dollars qui ont perturbé les services de facturation de l'eau à l'expédition de la police.

Le CISA tient un catalogue public des vulnérabilités exploitées connues, mais de nombreux organismes d'État et locaux n'ont pas les ressources nécessaires pour mettre en oeuvre des correctifs en temps opportun.

Rôle essentiel de l ' application des lois par les États

Les organismes d'application de la loi de l'État sont particulièrement bien placés pour protéger les infrastructures publiques parce qu'ils fonctionnent à l'intersection des ressources fédérales et des besoins locaux. Les organismes comme la police d'État, les bureaux d'enquête et les centres de fusion fournissent une expertise dont de nombreux services de police municipaux manquent.

Premiers intervenants dans le domaine numérique

Lorsqu'un cyberincident survient dans une usine d'eau ou une administration de transit, les opérateurs locaux appellent souvent le 911 ou contactent la gestion des urgences du comté. Cet appel atteint généralement un centre de répartition de la police d'État ou un analyste de centre de fusion. Dans de nombreux cas, les services de police d'État disposent d'une cyberunité ou d'un laboratoire de criminalistique numérique qui peut commencer une enquête en quelques heures.

Cette capacité de réaction rapide est essentielle car de nombreuses attaques d'infrastructure impliquent une technologie opérationnelle (OT) adaptée au temps – des systèmes qui ne peuvent pas simplement être redémarrés ou déconnectés sans risquer de dommages physiques ou de pertes de vies humaines.

Centres de fusion et partage d'information

Les centres de fusion gérés par l'État servent de centres de partage de renseignements entre les services de détection et de répression locaux, les organismes fédéraux et les intervenants du secteur privé. Ils analysent les données de menace, émettent des alertes et facilitent les enquêtes conjointes. De nombreux centres de fusion ont des cyberanalystes dédiés qui surveillent les forums Web sombres, suivent les variantes des ransomwares et partagent des indicateurs de compromis avec les opérateurs d'infrastructure.

Les organismes d'information et d'analyse (OSAI) et le Centre multi-États d'échange et d'analyse d'informations (MS-SAC) participent également à l'application de la loi. MS-SAC fournit des renseignements sur les menaces, des conseils sur les interventions en cas d'incident et des outils de sécurité spécifiquement destinés aux gouvernements des États, des collectivités locales, tribales et territoriaux.

Responsabilités fondamentales en matière de cybersécurité

Les organismes publics chargés de l'application de la loi assument une série de responsabilités en matière de cybersécurité, allant de la prévention et de l'éducation aux enquêtes et aux poursuites.

Surveillance et surveillance

Les cyberunités de l'État utilisent des systèmes de détection des intrusions, des outils de gestion des informations et des événements de sécurité (SIEM) et des flux de renseignements sur les menaces pour identifier les activités anormales. Elles surveillent également les systèmes publics tels que les réseaux gouvernementaux, les canaux de communication d'urgence et les capteurs de qualité de l'eau.

Les analystes des centres de fusion examinent les renseignements en libre accès, y compris les messages de médias sociaux, pour identifier les menaces potentielles pour les infrastructures. Ils suivent également les groupes qui ont ciblé publiquement certains secteurs, tels que les hackertivistes opposés aux pipelines de combustibles fossiles ou la privatisation des soins de santé.

La médecine légale numérique et les enquêtes

Lorsqu'un incident survient, les examinateurs judiciaires d'État recueillent et analysent des preuves numériques. Ils imagent des serveurs compromis, récupèrent les journaux des appareils réseau et examinent des échantillons de logiciels malveillants. Leurs résultats aident à déterminer le vecteur d'attaque, l'étendue de la perte de données et si la technologie opérationnelle a été affectée.

Les services de police de l'État effectuent souvent ce travail dans le cadre des lois de l'État et du fédéral, en maintenant la chaîne de garde à vue pour des poursuites éventuelles.De nombreux organismes ont des laboratoires accrédités sous l'American Society of Crime Laboratory Directors (ASCLD) ou d'autres normes.

Collaboration avec les organismes fédéraux et le secteur privé

Aucune organisation ne peut s'attaquer à la cybersécurité des infrastructures seule. L'application de la loi de l'État travaille en étroite collaboration avec les Forces de travail cybernétiques conjointes du FBI et les Forces de travail sur les crimes électroniques du Service secret américain, en particulier lorsque les attaques traversent les frontières de l'État ou impliquent la sécurité nationale.

Les partenariats du secteur privé sont tout aussi importants.Les services publics, les hôpitaux et les autorités des transports partagent les registres de réseau et les rapports d'incident avec les organismes d'État en vertu d'accords de non-divulgation.En retour, les services de détection et de répression fournissent des évaluations des menaces et de la vulnérabilité.

Éducation et sensibilisation du public

L'éducation des gestionnaires d'infrastructures et du grand public est une stratégie proactive qui réduit les chances de succès des attaques. L'application de la loi par l'État organise des sessions de formation à l'intention des gestionnaires de villes, du personnel des districts d'eau et des administrateurs des TI scolaires sur des sujets comme la sensibilisation au phishing, l'hygiène par mot de passe et la déclaration des incidents.

Certains États mènent des campagnes de sensibilisation du public pour informer les résidents des cybermenaces contre les infrastructures. Par exemple, une campagne pourrait mettre en garde contre les risques de cliquer sur des liens suspects lors d'un ouragan ou d'une panne de courant, lorsque les agresseurs font souvent passer pour des compagnies de services publics pour voler des titres de compétence.

Défis et obstacles

Malgré le rôle crucial qu'ils jouent, les organismes publics chargés de l'application des lois se heurtent à des obstacles importants pour faire face aux menaces à la cybersécurité qui pèsent sur les infrastructures publiques.

L'évolution des menaces et l'innovation rapide

Les cybercriminels et les adversaires de l'État-nation développent constamment de nouvelles tactiques, techniques et procédures. Ransomware-as-a-service, les exploits de zéro jour, et les attaques de la chaîne d'approvisionnement sont de plus en plus fréquents. Les attaquants utilisent l'intelligence artificielle pour créer des courriels convaincants d'hameçonnage et automatiser l'analyse de vulnérabilité.

Limites en matière de ressources et de personnel

De nombreux services informatiques d'application de la loi sont petits, souvent composés de moins d'une douzaine d'analystes et d'enquêteurs. Embaucher des professionnels expérimentés de la cybersécurité est difficile parce que le secteur privé offre des salaires plus élevés et une croissance de carrière plus importante. Le chiffre d'affaires est élevé, et il peut prendre des mois pour accélérer la location d'un nouvel environnement d'OT et de techniques médico-légales.

Les petits États et les zones rurales sont confrontés à des lacunes encore plus importantes en matière de ressources. Une station d'eau dans une ville de quelques milliers de personnes peut ne pas avoir de personnel spécialisé en sécurité informatique, comptant plutôt sur un employé à temps partiel ou un entrepreneur.

Questions juridiques, de protection de la vie privée et de compétence

Les enquêtes sur les attaques à l'infrastructure peuvent nécessiter l'accès au trafic réseau, aux courriels des employés ou aux registres d'accès physique, ce qui soulève des préoccupations en matière de protection de la vie privée. Les lois des États sur la conservation des données, les exigences en matière de mandat et le partage d'informations varient considérablement, ce qui complique les enquêtes multi-institutions.

Absence de cadres normalisés

Bien que le cadre de cybersécurité du NIST soit largement recommandé, sa mise en œuvre est volontaire pour de nombreuses entités étatiques. Certains centres de fusion suivent les normes du Plan national de protection des infrastructures (NIPP), tandis que d'autres élaborent leurs propres protocoles.

Stratégies pour renforcer les efforts de cybersécurité

Pour surmonter ces difficultés, les organismes publics chargés de l'application des lois appliquent de multiples stratégies, et les investissements dans la formation, la technologie, les partenariats et l'appui législatif peuvent accroître considérablement leur capacité de défendre les infrastructures publiques.

Formation et perfectionnement des effectifs

La formation continue est essentielle pour les cyberspécialistes et les agents de patrouille générale.De nombreux États ont créé des cyberacadémies ou des partenariats avec des universités pour offrir des certifications en médecine légale numérique, sécurité des réseaux et protection OT. L'Initiative nationale pour les carrières et les études en cybersécurité (NICSS) fournit des ressources pour la formation du gouvernement en cybersécurité.

La formation croisée entre les TI et les agents de la force publique est une autre approche efficace.Certains organismes intègrent des analystes de la cybersécurité dans les centres de gestion des urgences ou les services de travaux publics, en veillant à ce que l'expertise technique soit disponible au besoin.

Améliorations technologiques et automatisation

Il est essentiel d'investir dans des outils de détection, d'intervention et de surveillance avancés. Le logiciel de détection et d'intervention en bout de ligne, l'analyse du trafic réseau et les plateformes SIEM avancées permettent aux organismes d'identifier les menaces plus tôt.

Pour les environnements OT, des solutions de surveillance spécialisées qui comprennent les protocoles industriels (p. ex. Modbus, DNP3) sont essentielles. Ces outils peuvent détecter des commandes anormales qui pourraient indiquer une attaque sur une turbine ou une soupape d'eau.

Partenariats public-privé et partage de l'information

L'élargissement des partenariats avec le secteur privé demeure l'une des stratégies les plus efficaces, car les entreprises comme les services publics d'électricité, les fournisseurs de télécommunications et les fournisseurs de technologie possèdent rarement des données de menace que les services de détection et de répression voient.

L'application de la loi par l'État peut également s'associer à des organismes d'information de l'État ou en créer des. Par exemple, le WaterSASC fournit des renseignements sur les menaces pour les services d'eau; le Health-SASC sert des soins de santé; le Transport ISAC couvre le rail, l'aviation et le transit.

Appui législatif et politique

Les lois qui prévoient la notification d'infraction aux centres de fusion d'État, autorisent le pouvoir d'assignation pour les enquêtes électroniques et les fonds de cybersécurité appropriés sont des exemples communs. Plusieurs États ont créé des fonds ou des subventions pour aider les entités locales, y compris les services de détection et de répression, acquérir des outils et embaucher du personnel.

Des cadres politiques tels que la loi sur l ' amélioration de la cybersécurité au niveau de l ' État et des collectivités locales ont été mis en place au niveau fédéral pour accorder des subventions aux gouvernements des États, qui reconnaissent que l ' application de la loi par les États est un partenaire clef de la stratégie nationale de cybersécurité.

Collaboration et exercices régionaux

De nombreux États participent à des exercices de simulation des cyberattaques sur les infrastructures, qui impliquent des agents de la force publique, des opérateurs de services publics, des gestionnaires des urgences et des responsables des communications, qui testent les plans d'intervention, identifient les lacunes et établissent des relations avant qu'un incident réel ne se produise.

Les partenariats régionaux, tels que la collaboration nord-est en matière de cybersécurité ou le réseau d'information des États occidentaux, permettent aux États de mettre en commun leurs ressources et de partager leurs compétences, et facilitent les accords d'entraide qui permettent à un État doté d'une cybercapacité excédentaire d'aider un État voisin en période de crise.

La voie à suivre

Les organismes publics chargés de l'application de la loi sont indispensables à la protection des infrastructures publiques contre les cybermenaces, qui fournissent la rapidité, les connaissances locales et les partenariats que les organismes fédéraux ne peuvent souvent pas concilier. Pourtant, ils sont confrontés à des lacunes persistantes en matière de ressources, à des menaces en évolution rapide et à des paysages juridiques complexes.

Il est essentiel de passer d'une position de cybersécurité réactive à une position proactive. L'application de la loi par l'État non seulement doit réagir aux attaques, mais aussi aider les opérateurs d'infrastructures à renforcer leur résilience par des évaluations des risques, une formation et un suivi continus.

Alors que les menaces continuent de s'accroître en sophistication et en fréquence, le rôle de la police d'État ne fera que devenir plus critique. L'infrastructure publique du pays – ses systèmes d'eau, d'électricité, de transport et de soins de santé – dépend en dernier ressort de la vigilance, des compétences et de la détermination de ces défenseurs de première ligne.