Des cyberattaques se produisent quotidiennement, mais certaines sont particulièrement effrayantes. Une attaque cet été contre le système judiciaire américain aurait dû faire froid dans le dos.

Le 7 août, les autorités confirmé Une attaque contre le système judiciaire fédéral des États-Unis. Les attaquants ont notamment ciblé son système d'archivage judiciaire, Case Management/Electronic Case Files (CM/ECF), également connu sous le nom de son interface publique PACER. Le New York Times a indiqué que l'attaque, survenue entre fin juin et début juillet de cette année, était probablement liée à des acteurs étatiques russes.

Les conséquences sont considérables. Si de nombreux dossiers concernant CM/ECF sont accessibles au public via PACER, beaucoup d'autres sont scellés car ils contiennent des informations sensibles. Les attaquants semblaient rechercher des dossiers impliquant des ressortissants russes.

L'incident a semé le trouble au sein des tribunaux, qui ont été contraints de revenir à des systèmes de classement papier. Au moins un juge a même interdit le téléchargement de documents scellés dans PACER. Les dossiers sensibles ont dû être migrés vers des systèmes autonomes.

Plus inquiétant encore est l'idée que les cartels de la drogue mexicains pourrait avoir accès à Certaines de ces données sensibles peuvent exposer des témoins à leurs crimes. Les crimes liés aux cartels sont souvent traités au niveau du tribunal de district, ce qui signifie que les dossiers sensibles sont conservés au CM/ECF.

Le pire dans tout cela est qu’un mélange d’implémentation décentralisée et de code ancien et hérité est à blâmer.

Le CM/ECF remonte à la fin des années 1990, lorsque le district nord de l'Ohio je l'ai construit Pour gérer une multitude de conclusions dans certaines affaires d'amiante. D'autres tribunaux ont ensuite commencé à l'adopter au début des années 2000, lorsqu'un déploiement national a vu les tribunaux des faillites, de district et d'appel l'appliquer également. En 2007, l'adoption était quasi universelle, mais la gestion était fragmentaire ; chaque tribunal gérait sa propre mise en œuvre du logiciel. Ainsi, lorsque le Bureau administratif des tribunaux américains a publié une révision majeure, appelée NexGen, dans les années 2010, tous n'ont pas mis à jour le logiciel.

Dans un 2021 rapport Concernant le système, le personnel du Bureau administratif s'est plaint que plus de 50 tribunaux n'avaient pas migré vers le nouveau système. Le rapport déplorait l'obsolescence des technologies de base. « La décentralisation et la complexité entraînent une instabilité du système, des coûts de maintenance élevés et des risques de sécurité », prévenait-il. « Les contrats actuels rendent difficile la responsabilisation des prestataires en matière de normes de qualité. »

Le problème persiste et les résultats sont désastreux. Le ministère de la Justice a également rapporté une violation en 2021, qui s'est avérée plus tard impliquer trois acteurs étrangers.

Le problème des logiciels hérités

Ce problème de logiciels hérités est endémique. enquête Cette année, l'entreprise de logiciels de migration d'anciennes versions Saritasa a révélé que 62 % de ses 500 répondants utilisaient encore des systèmes hérités. L'IT doit toujours rivaliser avec les autres services pour obtenir une part du budget. Lorsque les équipes techniques l'obtiennent, elles doivent veiller à équilibrer le remboursement de la dette technique avec l'apport de nouvelles améliorations logicielles et matérielles qui satisfont les sponsors. Chaque dollar investi dans la réparation des anciens systèmes doit être prélevé sur le budget de l'entreprise.

La gestion informatique décentralisée crée également des angles morts, notamment lorsqu'elle est liée à des logiciels existants. De nombreux logiciels sont ainsi privés de correctifs. Il est également plus difficile de comprendre ce qui fonctionne sur l'infrastructure informatique et de le relier aux politiques de sécurité. Il en résulte un « shadow IT », qui accroît encore les risques.

Le système judiciaire fédéral n'est pas le seul à présenter certains de ces problèmes. En 2019, le Government Accountability Office (GAO) a publié un rapport soulignant le manque persistant d'attention portée aux systèmes hérités du gouvernement américain. Au Royaume-Uni, le gouvernement classifie 28 % de son infrastructure informatique est héritée, ce chiffre pouvant atteindre 70 % dans certaines zones.

Apprivoiser la bête héritée

Il existe des moyens de reprendre le contrôle de votre infrastructure informatique et d'au moins comprendre les risques liés aux architectures existantes, même si vous ne pouvez pas les éradiquer complètement. C'est là qu'un système de gestion de la sécurité de l'information (SMSI) tel que la norme ISO 27001 s'avère utile.

La norme ISO 27001:2022 Annexe A Contrôle 5.9 traite de la gestion des actifs informationnels, garantissant que l'organisation documente correctement les responsabilités de chaque actif et décrit les risques associés. Elle impose un inventaire des actifs pour atteindre cet objectif, créant ainsi une plateforme permettant aux entreprises d'organiser leurs activités autour de cet inventaire. Vous pouvez par exemple documenter les niveaux de correctifs actuels associés à chaque actif.

Cet inventaire des actifs constitue une excellente base pour lancer un programme de réduction de la dette technique. Prioriser les systèmes à corriger, mettre à niveau ou remplacer en fonction de leur facteur de risque permet aux équipes aux ressources limitées d'établir un plan d'action clair. Vous pouvez également l'utiliser pour créer des structures de gouvernance autour des plateformes qui ne sont pas en contact direct avec les clients, mais qui détiennent des informations de grande valeur et confidentielles. Ces actifs précieux, mal protégés, sont précisément ceux que les attaquants cibleront.

Vient ensuite la discussion sur la migration, qui explique comment migrer d'un système existant vers un nouveau. Cela implique une réflexion approfondie tenant compte des dépendances du système. La refactorisation (renouvellement d'une partie du code du système existant) est une option, tout comme le remplacement (supprimer complètement le système et le repartir de zéro). Cette dernière option offre davantage de possibilités de passer d'architectures problématiques, comme les systèmes monolithiques, à un code plus modulaire, basé sur les microservices.

D’autres mesures visant à faire face aux risques liés à l’héritage incluent la réalisation régulière d’exercices de modélisation des menaces pour explorer cette infrastructure héritée invisible que personne ne regarde jamais, comme les portails internes ou les plateformes contractuelles.

La remise en état de votre architecture patrimoniale ne doit pas être remise à demain. C'est un peu comme la santé physique. Chaque jour passé à procrastiner peut engendrer des problèmes futurs. Un petit effort maintenant – même un petit effort mensuel régulier de modernisation – peut éviter un désastre futur. Demandez à n'importe quel juge de district.