Des cyberattaques se produisent quotidiennement, mais certaines sont particulièrement effrayantes. Une attaque cet été contre le système judiciaire américain aurait dû faire froid dans le dos.

Le 7 août, les autorités ont confirmé une attaque contre le système judiciaire fédéral des États-Unis. Les attaquants ont notamment ciblé le système de gestion des dossiers judiciaires, le CM/ECF (Case Management/Electronic Case Files), également connu sous son interface publique PACER. Le New York Times a indiqué que cette attaque, survenue entre fin juin et début juillet, était probablement liée à des acteurs étatiques russes.

Les conséquences sont considérables. Si de nombreux dossiers concernant CM/ECF sont accessibles au public via PACER, beaucoup d'autres sont scellés car ils contiennent des informations sensibles. Les attaquants semblaient rechercher des dossiers impliquant des ressortissants russes.

L'incident a semé le trouble au sein des tribunaux, qui ont été contraints de revenir à des systèmes de classement papier. Au moins un juge a même interdit le téléchargement de documents scellés dans PACER. Les dossiers sensibles ont dû être migrés vers des systèmes autonomes.

Plus inquiétant encore est l'hypothèse selon laquelle les cartels de la drogue mexicains pourraient avoir accès à certaines de ces données sensibles, exposant potentiellement des témoins à leurs crimes. Les affaires criminelles liées aux cartels sont souvent traitées au niveau des tribunaux de district, ce qui signifie que les dossiers sensibles sont conservés dans le système CM/ECF.

Le pire dans tout cela est qu’un mélange d’implémentation décentralisée et de code ancien et hérité est à blâmer.

Le système CM/ECF remonte à la fin des années 1990, lorsque le district nord de l'Ohio l'a mis en place pour gérer un grand nombre de conclusions dans des affaires d'amiante. D'autres tribunaux ont ensuite commencé à l'adopter au début des années 2000, lors d'un déploiement national qui a également vu les tribunaux des faillites, de district et d'appel l'implémenter. En 2007, son adoption était quasi universelle, mais sa gestion restait fragmentée ; chaque tribunal gérait sa propre implémentation du logiciel. Ainsi, lorsque le Bureau administratif des tribunaux américains a publié une importante mise à jour, NexGen, dans les années 2010, tous les tribunaux ne l'ont pas effectuée.

Dans un rapport de 2021 sur le système, le personnel du Bureau administratif déplorait que plus de 50 tribunaux n'aient pas encore adopté le nouveau système. Le rapport déplorait l'obsolescence des technologies sous-jacentes. « La décentralisation et la complexité engendrent une instabilité du système, des coûts de maintenance élevés et des risques de sécurité », avertissait-il. « Les contrats actuels rendent difficile le contrôle du respect des normes de qualité par les prestataires. »

Le problème persiste et ses conséquences sont désastreuses. Le ministère de la Justice a également signalé une infraction en 2021, qui impliquait, comme cela a été révélé par la suite, trois acteurs étrangers.

Le problème des logiciels hérités

Ce problème de logiciels obsolètes est très répandu. Une enquête menée cette année par Saritasa, société spécialisée dans les logiciels de migration de systèmes existants, a révélé que 62 % des 500 répondants utilisaient encore des systèmes anciens. Le service informatique doit constamment rivaliser avec les autres départements pour obtenir une part du budget. Une fois le budget alloué, les techniciens doivent veiller à trouver un juste équilibre entre la réduction de la dette technique et le développement de nouveaux logiciels et matériels répondant aux attentes des commanditaires. Chaque euro dépensé pour la maintenance des anciens systèmes doit être prélevé sur le budget de l'entreprise.

La gestion informatique décentralisée crée également des angles morts, notamment lorsqu'elle est liée à des logiciels existants. De nombreux logiciels sont ainsi privés de correctifs. Il est également plus difficile de comprendre ce qui fonctionne sur l'infrastructure informatique et de le relier aux politiques de sécurité. Il en résulte un « shadow IT », qui accroît encore les risques.

Le système judiciaire fédéral n'est pas le seul à présenter certains de ces problèmes. En 2019, le Government Accountability Office (GAO) a publié un rapport soulignant le manque persistant d'attention portée aux systèmes informatiques obsolètes au sein du gouvernement américain. Au Royaume-Uni, le gouvernement considère que 28 % de son infrastructure informatique est obsolète, ce pourcentage atteignant même 70 % dans certaines régions.

Apprivoiser la bête héritée

Il existe des moyens de reprendre le contrôle de votre infrastructure informatique et d'au moins comprendre les risques liés aux architectures existantes, même si vous ne pouvez pas les éradiquer complètement. C'est là qu'un système de gestion de la sécurité de l'information (SMSI) tel que la norme ISO 27001 s'avère utile.

La norme ISO 27001:2022 Annexe A Contrôle 5.9 traite de la gestion des actifs informationnels, garantissant que l'organisation documente correctement les responsabilités de chaque actif et décrit les risques associés. Elle impose un inventaire des actifs pour atteindre cet objectif, créant ainsi une plateforme permettant aux entreprises d'organiser leurs activités autour de cet inventaire. Vous pouvez par exemple documenter les niveaux de correctifs actuels associés à chaque actif.

Cet inventaire des actifs constitue une excellente base pour lancer un programme de réduction de la dette technique. Prioriser les systèmes à corriger, mettre à niveau ou remplacer en fonction de leur facteur de risque permet aux équipes aux ressources limitées d'établir un plan d'action clair. Vous pouvez également l'utiliser pour créer des structures de gouvernance autour des plateformes qui ne sont pas en contact direct avec les clients, mais qui détiennent des informations de grande valeur et confidentielles. Ces actifs précieux, mal protégés, sont précisément ceux que les attaquants cibleront.

Vient ensuite la discussion sur la migration, qui explique comment migrer d'un système existant vers un nouveau. Cela implique une réflexion approfondie tenant compte des dépendances du système. La refactorisation (renouvellement d'une partie du code du système existant) est une option, tout comme le remplacement (supprimer complètement le système et le repartir de zéro). Cette dernière option offre davantage de possibilités de passer d'architectures problématiques, comme les systèmes monolithiques, à un code plus modulaire, basé sur les microservices.

D’autres mesures visant à faire face aux risques liés à l’héritage incluent la réalisation régulière d’exercices de modélisation des menaces pour explorer cette infrastructure héritée invisible que personne ne regarde jamais, comme les portails internes ou les plateformes contractuelles.

La remise en état de votre architecture patrimoniale ne doit pas être remise à demain. C'est un peu comme la santé physique. Chaque jour passé à procrastiner peut engendrer des problèmes futurs. Un petit effort maintenant – même un petit effort mensuel régulier de modernisation – peut éviter un désastre futur. Demandez à n'importe quel juge de district.