Défaillances critiques découvertes dans le système de l'agence de cybersécurité américaine CISA

Il a été révélé que l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ne disposait pas de plan d'action préparé pour faire face à des situations où des clés secrètes et des données permettant d'accéder à ses systèmes auraient fuité sur un réseau public. Cette organisation, responsable de la protection des réseaux fédéraux, a dû élaborer une stratégie d'intervention (playbook) à partir de zéro lors d'une crise imprévue. C'est ce que rapporte Techcrunch.com rapporte .

L'incident s'est produit en mai dernier, après que le journaliste indépendant Brian Krebs a alerté l'agence au sujet d'une erreur commise par un employé d'une entreprise sous-traitante. Selon TechCrunch, la CISA a admis dans son rapport que ses employés avaient passé du temps à élaborer un plan d'action lors des premières étapes de l'incident. Cela a démontré que l'organe principal censé contrer les cyberattaques n'était pas préparé aux situations imprévues.

Comment l'erreur s'est-elle produite ?

Un chercheur de la société de cybersécurité GitGuardian a découvert de nombreux mots de passe et identifiants destinés à accéder aux systèmes du gouvernement américain dans un dépôt public GitHub. Il s'est avéré qu'un employé d'une entreprise sous-traitante travaillant avec la CISA avait laissé ces données en accès libre par négligence. Le chercheur a d'abord tenté de contacter le sous-traitant, mais n'ayant reçu aucune réponse, il a informé Brian Krebs de la situation.

Ce n'est qu'après l'intervention du journaliste que la CISA a mis ce dépôt hors ligne, révoqué toutes les clés secrètes exposées et les a remplacées par de nouvelles. L'agence a affirmé qu'aucune donnée liée à la mission ou aux informations personnelles des utilisateurs n'était tombée entre de mauvaises mains à la suite de cet incident. Néanmoins, l'absence d'un plan prêt à l'emploi a probablement considérablement ralenti le processus de réponse.

Problèmes systémiques et pénurie de personnel

Dans son rapport, la CISA a également noté que les canaux de communication avec les chercheurs en sécurité n'étaient pas clairement définis. Désormais, l'agence promet d'améliorer son système de communication pour garantir que les experts puissent signaler rapidement les menaces. Cependant, la situation au sein de l'organisation reste quelque peu complexe.

Selon les informations, la CISA fonctionne sans directeur permanent depuis le début du mandat présidentiel de Donald Trump en janvier 2025. De plus, près d'un tiers des effectifs de l'agence a été touché par des réductions, des congés forcés et des licenciements. Cette pénurie de personnel et ces contraintes financières sont accueillies avec inquiétude par les experts, car elles affectent négativement le niveau de cybersécurité.

Cet événement a prouvé une fois de plus que même les organisations gouvernementales de haut niveau doivent disposer d'un plan d'action clair et approuvé contre les incidents de cybersécurité imprévus. L'improvisation et l'élaboration d'un plan en pleine crise peuvent entraîner une perte de temps précieuse et une augmentation des risques.