La NASA envisage de réaligner sa stratégie de cybersécurité

Dans un rapport d’audit publié récemment, le Bureau de l’inspecteur général (IG) a déclaré que «les attaques contre les réseaux de la NASA ne sont pas un phénomène nouveau». Cependant, la complexité et la gravité de ces attaques augmentent de jour en jour. Mais malgré tout, la stratégie de cybersécurité de la NASA semble être «désorganisée» et nécessite un réalignement immédiat, a ajouté l’IG. Jeffrey Seaton, Le CIO de la NASA, a approuvé les conclusions de l’IG, qui a en outre exprimé sa préoccupation quant au fait que le Bureau du CIO (OCIO) a eu du mal à mettre en œuvre une structure de gouvernance informatique efficace qui aligne l’autorité et la responsabilité avec la mission globale de l’agence.

La préparation de la NASA à la cybersécurité est-elle en question?

La NASA a une large empreinte numérique avec plus de 3 000 sites Web et plus de 42 000 ensembles de données accessibles au public. Pas étonnant, l’agence spatiale nationale a été confrontée à plus de 6000 cyberattaques au cours des quatre dernières années seule.

Il est vital pour la NASA de disposer de pratiques de cybersécurité solides à l’échelle de l’agence pour se protéger des menaces actuelles et futures dans le cyberespace. Cependant, le rapport de l’IG indique: «Nous avons constaté que la capacité de la NASA à prévenir, détecter et atténuer les cyberattaques est limitée par une approche désorganisée de l’architecture d’entreprise (EA).»

L’IG a apprécié que l’OCIO ait fait des efforts notables pour améliorer l’état de préparation de la NASA en matière de cybersécurité. En septembre 2019, la NASA a mis à jour sa stratégie informatique pour identifier les activités critiques, les jalons et les ressources nécessaires pour gérer l’informatique en tant que ressource hautement stratégique. Pour affiner davantage cette stratégie, l’OCIO travaille également actuellement sur deux initiatives importantes:

1. Programme d’architecture future de soutien à la mission (MAP) – Les divers services de la NASA tels que l’informatique, les ressources humaines, les finances et les achats ont été gérés et exploités séparément dans chaque centre et / ou siège social. Cependant, le MAP est en cours d’élaboration pour le placer sous contrôle centralisé afin qu’il puisse être régi par des capacités de cybersécurité consolidées plutôt qu’individualistes. L’agence s’attend à ce que l’évaluation du PAM soit terminée d’ici la fin de 2021 et qu’elle procède à sa mise en œuvre en janvier 2022.
2. Le contrat de solutions et de services d’entreprise de cybersécurité et de confidentialité (CyPrESS) – Il s’agit d’un vaste contrat de gestion de la cybersécurité qui vise à éliminer la duplication des cyber-services entre les différents centres de l’agence. CyPrESS n’est pas officiellement un sous-ensemble de MAP mais a tendance à travailler en tandem avec lui pour fournir un modèle de service centralisé.

L’IG est satisfait de ces initiatives, mais a suggéré de faire progresser le CyPrESS pour inclure des services tels que le centre d’opérations de sécurité (SOC), les tests d’intrusion, la gestion des vulnérabilités, la gestion des risques de la chaîne d’approvisionnement, la formation et le partage des connaissances, ainsi que l’identité, le certificat et le partage des connaissances. Gestion des accès. Selon une base de données sur les marchés publics maintenue par Deltek, l’appel d’offres pour l’attribution du contrat à une entreprise expérimentée devait être publié le 17 mai. Cependant, selon le Système fédéral de gestion des bourses, la proposition en est encore au stade de la pré-sollicitation. , ce qui pourrait compromettre sa date limite de lancement des travaux de février 2022.

La NASA a accepté ses lacunes et, sur la base des recommandations du rapport d’audit de l’IG, a créé un programme d’architecture d’entreprise; surveiller les métriques sur l’efficacité de son architecture de sécurité d’entreprise; et effectuer une évaluation des coûts des 526 systèmes informatiques de l’agence qui ont été classés dans l’un des trois niveaux d’exposition aux risques allant de faible à élevé.

Nouvelles connexes:

DopplePaymer Gang prétend avoir frappé un entrepreneur de la NASA avec une attaque de ransomware