Des mesures d'hygiène numérique de base en cyber absentes au gouvernement fédéral

Hola.

Encore une fois, désolé du silence radio des dernières semaines; une série de blessures au muay thaï et une bonne grippe d’homme m’ont mis sur le carreau et ça m’a essentiellement forcé à me calmer les nerfs. Mais bon, me revoici et contrairement à mon habitude, je ne vais pas varger sur l’industrie de l’intelligence artificielle ce coup-ci; je vais en fait me défouler sur différents paliers gouvernementaux, ici et ailleurs. Yé!

Have phun.

La Commission d’accès à l’information peine à traiter les plaintes et les divulgations liées aux fuites de données en temps opportun. En effet, près du quart de toutes les plaintes reçues à la CAI depuis 2020 n’ont toujours pas été adressées. On parle ici d’une augmentation foudroyante de 559% des fuites de données signalées à la CAI dans les trois dernières années.

Important à noter:

Québec a en effet aboli il y a quelques mois une vingtaine de postes à pourvoir au sein de l’organisation, comme le rapportait Le Journal en juin.

Et:

Pour l’année qui s’est terminée en mars, le délai moyen de traitement des plaintes était de 438 jours.

Au delà de la gestion des plaintes, je serais curieux de savoir ce que la CAI fait des divulgations une fois reçues, particulièrement celles liées aux cyberattaques; y a-t-il une forme d’accompagnement effectuée par l’état auprès des entreprises touchées? Sont-elles laissées à elles-mêmes?

En guise de rappel, la fameuse “loi 25” (la loi modernisant des dispositions législatives en matière de protection des renseignements personnels) oblige, depuis 2022, les entreprises et les institutions à informer la Commission d’accès à l’information de toute fuite de données ou incident de cybersécurité majeur… le problème, ici, c’est la capacité de la CAI à faire quelque chose avec ces dénonciations.

Dommage qu’on soit dans un zeitgeist “d’efficacité gouvernementale” (ie, une tendance néo-réactionnaire et pseudo-libertarienne à faire toute la place pour le privé) parce que la CAI a clairement besoin d’huile de bras.

La vérificatrice générale du Canada vient de publier un rapport sur l’état des lieux côté cybersécurité dans les systèmes gouvernementaux et… oooooh boy.

Le rapport relève, en gros, trois grands problèmes:

1. Un manque de communication efficace entre les trois agences responsables de la cybersécurité au niveau fédéral, soit Services partagés Canada, le Centre de la sécurité des télécommunications et le Conseil du trésor;

2. Un travail en silo en ce qui a trait à une gouvernance cohérente au travers du gouvernement fédéral;

3. L’inventaire des actifs matériels et logiciels n’est pas complété/pas à jour.

Le dernier point est quand même assez grave: le projet de recensement des actifs avait été lancé en 2017 par Services partagés Canada et n’a jamais été complété en HUIT ANS! L’inventaire des actifs, c’est LA première étape d’une bonne posture de cybersécurité (et c’est pas juste moi qui le dit - voir des cadres de conformité comme le CIS Critical Controls qui liste ce contrôle comme LA première étape à faire). Pas d’inventaire, pas de visibilité digne de ce nom sur une infrastructure, donc une surveillance incomplète.

C’est choquant mais le cynique en moi trouve ça zéro surprenant. À l’instar de la vaaaaaste majorité des organisations au privé ou au public, les agences fédérales responsables de la cybersécurité ne semblent pas avoir certains éléments de base en place. Or, contrairement aux PMEs et organisations avec moins de moyens, le gouvernement fédéral n’a tout simplement pas d’excuse. C’est inacceptable.

La réponse de Services partagés Canada sur l’inventaire incomplet:

Nous sommes d’accord avec la recommandation. En 2024, SPC a entamé une initiative de transformation de la gestion du matériel dans le but de renforcer ses processus et ses systèmes de gestion des actifs. Cette initiative devrait continuer de permettre des améliorations progressives aux mesures de contrôle du cycle de vie des biens de SPC jusqu’à ce qu’elles soient toutes apportées en mars 2028.

Donc, on en a encore pour trois ans (dans le meilleur des cas) avant d’avoir un inventaire digne de ce nom. Ça aura donc pris PLUS D’UNE DÉCENNIE au gouvernement fédéral pour arriver à bout de mise en place d’une mesure absolument basic en cybersécurité… c’est complètement ridicule. La Chine et la Russie doivent être crampés.

J’ai amplement couvert, depuis janvier, les aléas douteux de l’administration Trump en lien avec le niveau de sérieux du gouvernement américain face à la cybersécurité. Cette semaine, on a eu droit à la plus récente absurdité au sud de la frontière: des employés de la Cybersecurity Infrastructure Security Agency sont réassignés à brasser de la paperasse de déportation de la gestapo américaine!

Un extrait de l’article de TechDirt:

Employees across various units of the Department of Homeland Security have been marked for reassignments to agencies focused on Trump-era border security and deportation work, and could be dismissed if they don’t comply, according to multiple people familiar with the matter and a copy of one notice viewed by Nextgov/FCW […]

Changes have hit particularly hard in CISA’s Capacity Building team, which writes emergency directives and oversees cybersecurity for the government’s highest value assets, the employees said. Reassignments have largely targeted senior CISA staffers, who are forbidden from joining unions because they work on national security issues, according to one person.

Tout est la: du cassage de syndicat, de la coercition, de la répression sociale et de l’incompétence généralisée. C’est un bon moment de rappeler à tout le monde que les États-Unis sont activement compromis par Salt Typhoon, encore, et cette administration a les deux doigts dans le nez côté cybersécurité. Et je parle même pas des dégâts causés par DOGE depuis un an. C’est pathétique mais, encore une fois, c’est pas surprenant.

Voici d’autres histoires qui ont retenues mon attention cette semaine:

La panne du module gérant les load balancers sur US-EAST-1 de AWS cette semaine a non-seulement démontrée, encore une fois, notre dépendance collective envers les grands fournisseurs d’infrastructure infonuagique mais a aussi soulevé certains problèmes inusités… notamment, des lits intelligents qui surchauffent à cause de la panne. Quelle chance de vivre à cette époque.

­~~~

Un bon take sur le timing d’effectuer un test d’intrusion. Je suis 100% d’accord avec Spencer, et je le dis constamment à mes clients: il y a les low-hanging fruits à aller chercher avant de s’embarquer dans un pentest couteux et dont les conclusions seront de toute façon invalidés par les étapes d’évaluation subséquentes.

~~~

Trois femmes - dont deux psychologues! - ont opéré un site de revente de drogue en ligne basé à Colombus­ en Ohio.

~~~

L’entreprise de sociomobilité (ou however the fuck que les glands de la Silicon Valley appelle ça astheure) Waymo a été “victime” d’une attaque de déni de service distribuée… mais pas du type que l’on connait. Une cinquantaine d’activistes se sont présentés dans le plus long cul-de-sac à San Francisco et ont tous appelés des chars en même temps, bloquant effectivement le service dans le coin. Du vrai bon cultural jamming, comme aurait dit Kalle Lasn.

Alright, je retourne guérir mes tendinites de vieux.

Bon week-end!