USA : La cybersécurité dans l'administration municipale à SEGUIN

il n'y a pas de fatalité aux attaques 

La protection des infrastructures de la Ville de Seguin contre les menaces de cybersécurité est une priorité absolue pour le service informatique de la Ville. Ce niveau de protection à Seguin est maintenant reconnu comme l'un des meilleurs au pays.

Comment une petite ville du Texas a appris à parer les cyberattaques

En France et en Europe, les collectivités locales sont de plus en plus fréquemment la cible de demandes de rançons via des cyberattaques informatiques. Aux États-Unis, dans l'État du Texas, un...

https://www.marianne.net/societe/big-brother/comment-une-petite-ville-du-texas-a-appris-a-parer-les-cyberattaques

Cybersecurity in city government, taken to new heights: An Interview with Shane McDaniel

When most people speak of any city government, they often mention words like "Bureaucratic","Behind the times", and "Slow." This is especially true when considering cybersecurity initiatives ...

https://www.tripwire.com/state-of-security/cybersecurity-in-city-government-taken-to-new-heights-an-interview-with-shane-mcdaniel

Lorsque la plupart des gens parlent d'un gouvernement municipal, ils mentionnent souvent des mots comme « bureaucratique »,
« en retard » et « lent ». Cela est particulièrement vrai lorsque l'on considère les initiatives de cybersécurité. Cependant, une petite ville du Texas est en train de changer ce point de vue. Seguin, Texas, qui était autrefois la plus petite ville du Texas à avoir un employé à temps plein en cybersécurité, était la seule entité gouvernementale à être nommée dans les CSO50 2022 Awards . Les prix CSO50 récompensent les projets de sécurité qui font preuve d'un leadership éclairé et d'une valeur commerciale exceptionnels. 

Les prix CSO sont assez importants et la ville de Seguin partage une position sur la liste des prix avec certains des noms les plus reconnus du monde des affaires, ainsi qu'avec des entreprises technologiques mondiales, notamment Bank of America, Accenture et The MITRE Corporation. Seguin a été la seule entité gouvernementale à remporter un prix. Aucune autre ville, État ou organisme gouvernemental fédéral n'a partagé cette reconnaissance. Nous avons récemment eu l'occasion de parler avec le directeur informatique de Seguin, Shane McDaniel, dont le dévouement et l'engagement ont démontré que le prix CSO50 était bien mérité.

Quels étaient les critères pour gagner le prix CSO50 ?

Shane McDaniel :   J'ai raconté notre histoire, qui consiste en un effort pluriannuel pour construire un programme de cybersécurité à partir de pratiquement rien. Quand j'ai commencé en mars 2018, nous n'avions pas de formation de sensibilisation. Nous avions quelques autres premières technologies de sécurité, mais il n'y avait pas de culture de sécurité. Le prix représente tout ce que nous avons fait pour faire progresser la cybersécurité au nom de l'organisation et au nom de la ville ; les gens dont nous sommes responsables. Le prix n'est pas seulement un ensemble d'outils qui travaillent ensemble pour protéger les actifs de la ville. C'est ce que nous faisons en tant que culture, en tant qu'organisation.

Pouvez-vous développer cette idée de la culture de la cybersécurité au sein d'une entité gouvernementale ?

SM : Je suis dans le gouvernement local depuis six ans maintenant. Avant cela, j'ai passé environ cinq ans dans le secteur privé, plus précisément chez un fournisseur de services de sécurité gérés. Et avant cela, j'étais avec le gouvernement fédéral, soutenant les opérations informatiques, travaillant avec la communauté du renseignement pour la sécurité nationale pendant 15 ans. En ce qui concerne l'aspect organisationnel de la cybersécurité, en particulier l'aspect culturel dans les collectivités locales, nous sommes tous des variantes les uns des autres. Personne ne réinvente nécessairement la roue en soi. Vous allez avoir des dispositifs de sécurité dans ces organisations. Vous aurez une formation de sensibilisation similaire en place. Il y a beaucoup de similitudes techniques.

Ce sont les relations qui sont établies du haut vers le bas, les tactiques qui sont utilisées pour construire le programme qui font la différence. Dans le cas de Seguin, la construction de ce programme ne concernait pas tant les outils, les ressources et les couches. Il s'agissait davantage de l'approche organisationnelle de la construction de la fondation et de la manière dont elle est liée à tous les aspects de la croissance de la ville aujourd'hui. Nous sommes une communauté en croissance rapide ici dans le centre-sud du Texas, et nous ajoutons constamment des ressources. Dans le cadre de cette initiative, nous avons amené l'organisation au point où la sécurité est incluse dans le processus pour tout nouvel outil introduit dans l'environnement. Les cadres supérieurs de la ville travaillent tous dans le même sens également.

Je prends également la parole à chaque séance d'orientation des nouvelles recrues. C'est une approche globale de la culture de la cybersécurité. L'informatique aborde de manière proactive le récit de la sécurité du haut, du milieu et avec les nouveaux arrivants lorsqu'ils franchissent la porte. Toute l'équipe informatique promeut cette initiative. Collectivement, nous allons tous dans le même sens, avec une approche organisationnelle.

Lorsque vous avez commencé ce voyage, avez-vous utilisé un framework particulier qui, selon vous, fonctionnait le mieux pour votre environnement ?

SM : Il y a toujours eu beaucoup de discussions à ce sujet. Au début, la réponse était « non ». Nous sommes allés jusqu'à tirer parti des ressources fédérales, avec le département de la Sécurité intérieure et la Cybersecurity and Infrastructure Security Agency (CISA). Nous avons des services publics d'électricité, d'eau et d'eaux usées et nous travaillons sur un service de drainage, de sorte que certains des cadres les plus granulaires ne nous sont pas facilement applicables compte tenu de nos ressources par rapport à nos besoins opérationnels. Cependant, il y a quelques années, j'ai fait une présentation sur les contrôles CIS avec l'un de nos partenaires de confiance, Sentinel IPS. Je me suis rendu compte que ces contrôles sont davantage orientés vers un environnement comme le nôtre, c'est donc le cadre le plus étroitement associé à notre environnement aujourd'hui. Depuis, nous avons continué à nous appuyer sur CIS.

D'autres entreprises figurant sur la liste des prix CSO50 sont assez grandes et ont beaucoup d'argent à investir dans la cybersécurité. Cependant, vous avez prouvé qu'une bonne sécurité peut être obtenue avec beaucoup moins. Quels conseils donneriez-vous aux autres DSI qui ont eux aussi des budgets limités. Comment commencent-ils ?

SM : Il vaut mieux s'instruire sur le sujet. Appuyez-vous sur votre réseau de professionnels et travaillez avec des partenaires commerciaux solides. D'autres façons d'apprendre sont d'assister à des conférences et de profiter des ressources qui sont à votre disposition. L'une des choses que j'aime absolument dans le gouvernement local, c'est que nous ne sommes en concurrence avec aucune autre ville ou comté, en gros, nous sommes tous amis.

Si mon voisin d'en face ou de l'autre côté de l'État a besoin d'aide, nous travaillons ensemble pour nous entraider. J'ai littéralement parlé à des gouvernements locaux aussi éloignés que l'État de l'Alaska. Les gens nous ont aussi aidés. Ainsi, vous n'avez pas nécessairement à réinventer la roue ou à être la personne qui découvre une excellente ressource de cybersécurité gratuite. Il suffit d'être réceptif et ouvert à l'écoute des autres. Et vous devez être curieux, faire un peu de devoirs et un peu de travail sur les jambes, mais l'information est là.

Quels conseils donneriez-vous aux autres pour obtenir l'adhésion des parties prenantes ? Comment plaider en faveur d'un bon programme de cybersécurité ?

SM :  Communiquez tôt et souvent. Il est essentiel d'initier la communication dès le début et de permettre à cette communication de filtrer à travers les différents départements et de l'utiliser essentiellement à votre avantage. Venant d'un milieu militaire, je regarde les tactiques efficaces. Une méthode qui a très bien fonctionné est que nous avons créé des pièces de « défi », qui portent le logo de notre programme Seguin Cyber ​​Champion, que nous donnons au personnel, à des pairs ou même à des citoyens qui renforcent un bon comportement en matière de cybersécurité. Cela pourrait être quelque chose comme signaler un e-mail suspect. Cela peut sembler idiot à certaines personnes, mais ils ont très bien réussi. Nous avons adopté la même approche avec les bloqueurs de données pour préconiser de bonnes pratiques de sécurité à l'intérieur et à l'extérieur du bureau. Les briefings que je donne lors des orientations des nouvelles recrues sont aussi une belle opportunité de partager une vue d'ensemble du service informatique,

J'utilise également les métriques comme un autre outil pour communiquer l'importance de la cybersécurité. Je partage les données avec la direction de la ville et le cas échéant. Par exemple, nous avons constaté une augmentation exponentielle des tentatives de phishing ciblées au cours des dernières années. Pour démontrer pourquoi c'est si important, je montre les tentatives de phishing ciblées réelles ainsi que les mesures associées aux nouveaux employés en orientation. J'utilise un bref jeu de diapositives pour visualiser l'e-mail provenant du nom d'un employé légitime, mais aussi à quel point ce même e-mail semble ombragé sur le backend. Je m'assure de mentionner que le plus souvent, ces tentatives d'hameçonnage directement ciblées sont une demande de réacheminement des informations de dépôt direct d'un employé.

Il y a eu des exemples où j'ai partagé une tentative d'hameçonnage ciblée sur un nouvel employé qui était en fait dans la salle pour l'orientation de sa nouvelle recrue. En partageant des exemples, je communique que la cybersécurité est bien plus qu'une préoccupation organisationnelle et qu'elle peut avoir un impact personnel direct sur chaque employé de la ville. Pour toute personne vivant d'un chèque de paie à l'autre, sa masse salariale pourrait être affectée, et cela peut prendre un certain temps à corriger.

J'utilise beaucoup les métriques et je peux débiter toutes sortes de chiffres amusants en un rien de temps. Par exemple, les gens sont vraiment surpris d'apprendre que notre environnement a connu plus de douze millions de tentatives d'intrusion depuis janvier 2020. J'ai un tableau de bord opérationnel que j'ai construit pour représenter visuellement ces données à travers des graphiques et des tableaux. Je rends probablement fou notre City Manager avec toutes ces données, mais je crois qu'il est primordial d'avoir un baromètre pour votre organisation.  

En plus de l'orientation des nouvelles recrues, avez-vous également un programme officiel de formation de sensibilisation à la sécurité ?

SM :   Oui. L'État a adopté un projet de loi qui exige une formation formelle de sensibilisation à la cybersécurité il y a quelques années. Auparavant, aucune formation de sensibilisation à la sécurité n'était requise pour les entités gouvernementales locales de l'État du Texas. Au début, nous utilisions un outil de filtrage des e-mails pour détecter certaines des menaces. C'était notre première incursion dans la formation de sensibilisation; juste une affaire rapide et aléatoire pour les employés. Après l'adoption de ce nouveau projet de loi, chaque employé de la ville doit suivre la formation. Cela inclut les membres du conseil, le maire, tous ceux qui ont une adresse e-mail du gouvernement municipal doivent suivre cette formation en tant qu'exigence de l'État au Texas. En tant que fier Texan d'origine, je remercie beaucoup notre législature d'avoir couru avec toutes les initiatives de cybersécurité.

L'hameçonnage est-il l'une des principales menaces dans votre secteur aujourd'hui ? Quels sont les autres ?

SM : Eh bien, vous savez, nous sommes tous à un clic d'un désastre absolu, nous y compris. J'en suis parfaitement conscient. L'une des façons dont nous avons abordé le problème consiste à supprimer les courriers indésirables des boîtes de réception des utilisateurs. Nous recevons en moyenne environ 80 000 e-mails par mois sur notre domaine, dont environ 20 % sont signalés pour des problèmes de sécurité et ne parviennent pas à l'utilisateur final. Le phishing englobe les tentatives d'usurpation d'identité, les pièces jointes malveillantes potentielles, ainsi que le spam standard. La deuxième plus grande menace provient des vulnérabilités générales du système. Nous les combattons en faisant preuve de diligence dans l'application de correctifs de sécurité à notre entreprise technologique.

Quels succès ont contribué à ce que Seguin remporte le prix CSO50 ?

SM :C'est un prix d'organisation. Ce n'est pas une affaire de service informatique, car nous ne réussirions pas sans nos utilisateurs finaux. L'une des choses que je prêche ici, c'est que nous ne serons jamais aussi forts que notre maillon le plus faible. Ainsi, notre succès en matière de cybersécurité nécessite une adhésion globale pour atteindre cet objectif. Nous sommes ici dans le Texas rural, et la plupart des gens ne penseraient jamais que nous gagnerions des prix pour la cybersécurité. Le fait est qu'au cours des quatre dernières années, nous avons remporté 14 prix d'État ou nationaux pour plusieurs initiatives technologiques. Nous avons achevé il y a deux ans un projet d'infrastructure radio qui a eu un impact sur la vie de 165 000 personnes dans cette région. Ce projet a changé la donne pour les communications radio d'interopérabilité dans cette région du Texas et Seguin a reçu l'innovation informatique de l'année 2020 d'une publication gouvernementale de premier plan pour cet effort. Vous m'entendrez souvent dire que nous poinçons au-dessus de notre catégorie de poids ici.

Notre succès vient aussi de l'adhésion du haut vers le bas. Nous avons investi dans notre infrastructure, et tous les dirigeants de l'administration municipale ont soutenu notre travail. Je veux juste m'assurer que l'organisation obtienne également ce crédit, car si c'était juste moi qui parlais à un groupe de personnes qui ont été déconnectées, nous ne recevrons pas ce prix de la cybersécurité. Nos gens écoutent, ils prennent cela au sérieux et je suis fier de ce que nous faisons tous ici.

---

La prochaine fois que vous pensez à un gouvernement municipal et aux possibilités d'une cybersécurité de classe mondiale, rappelez-vous que les personnes qui servent Seguin, au Texas, dirigées par des personnes avant-gardistes comme Shane McDaniel, peuvent accomplir de grandes choses. La cybersécurité dans l'administration municipale, portée à de nouveaux sommets.

Seguin staying ahead of the cybersecurity curve

(Seguin) - Protecting the City of Seguin's infrastructure from cybersecurity threats is a top priority for the city's IT Department. That level of protection in Seguin is now being recognized as one

https://seguintoday.com/2022/06/16/seguin-staying-ahead-of-the-cybersecurity-curve/

Ville reconnue pour avoir l'un des 50 meilleurs programmes de cybersécurité du pays

(Seguin) — La protection des infrastructures de la Ville de Seguin contre les menaces de cybersécurité est une priorité absolue pour le service informatique de la Ville. Ce niveau de protection à Seguin est maintenant reconnu comme l'un des meilleurs au pays.

Récemment, la ville a appris que son programme Seguin Cyber ​​Champion sera reconnu dans la capitale nationale comme l'un des 50 meilleurs programmes de cybersécurité au pays. La ville est officiellement récipiendaire du prestigieux prix CSO Online CSO50 2022.

Seguin en septembre devrait recevoir ce prix et être reconnu lors d'une cérémonie spéciale à Washington, DC

Ce qui est peut-être encore plus impressionnant pour la ville de Seguin, c'est qu'elle est la seule entité gouvernementale à être reconnue en 2022.

Shane McDaniel, directeur de l'information et de la technologie pour la ville de Seguin, affirme que la ville se joint à la liste d'élite de plusieurs entreprises mondiales qui seront également honorées.

"C'est beaucoup, j'ai vu des noms du Fortune 500. Je vois beaucoup de grands noms United Airlines, Microsoft, bien sûr, Zoom. Ce sont toutes de grandes marques mondiales et je n'arrive pas à croire que la ville de Seguin soit nommée juste à côté, car pour moi, ces sociétés ont des budgets illimités et toutes les ressources du monde et elles peuvent payer à leur personnel des salaires formidables et quoi non et nous voilà la ville de Seguin est juste à côté d'eux alors apparemment, nous faisons quelque chose de bien au nom de la cybersécurité en ce qui concerne la façon dont nous protégeons notre environnement et nos citoyens et les choses dont nous sommes responsables ", a déclaré McDaniel.

Les prix CSO50 récompensent les projets de sécurité qui font preuve d'une réflexion, d'un leadership et d'une valeur commerciale exceptionnels. Les lauréats sont déterminés par un panel de juges composé de responsables de la sécurité, d'experts du secteur et d'universitaires.

McDaniel dit qu'il s'agit vraiment d'un prix organisationnel. Il dit que la cyber-sensibilisation est devenue ancrée dans la culture de Seguin. Il dit que Seguin continue de dépasser sa catégorie de poids à bien des égards, la cybersécurité étant le dernier exemple en date. Il dit que c'est pourquoi c'est un tel privilège de faire partie de cette organisation.

« Pour moi, ce n'est pas nécessairement ce que nous faisons en soi. Parlons simplement du contexte des administrations municipales. Beaucoup d'administrations municipales font les mêmes choses que nous. Pour moi, ce qui rend la ville de Seguin spéciale et digne de reconnaissance est le premier, nous le faisons en quelque sorte plus dans leLa communauté rurale - une communauté qui n'est pas nécessairement associée à la cybersécurité de haut niveau ou à la technologie en général, mais pour moi, ce qui la rend spéciale, c'est la relation qui a été favorisée. Donc, nous le faisons dans un endroit qui n'est pas Austin. Ce n'est pas New York. Ce n'est pas Los Angeles ou Dallas. C'est la ville de Seguin, et nous faisons des choses très impressionnantes avec la cybersécurité, et nous le faisons avec des gens ordinaires, n'est-ce pas ? La moitié de mon personnel est diplômé de l'ISD local, et ils sont remarquables dans ce qu'ils font. Donc, nous sommes tous en train de réfléchir ensemble. Nous allons de l'avant. Nous avons beaucoup l'adhésion du conseil, M. (Steve) Parker, le directeur municipal, les chefs de département. Je parle à chaque orientation de nouvelle embauche de la valeur de la cybersécurité et des impacts potentiels sur une organisation également à un niveau personnel, la formation de sensibilisation que nous faisons. Encore une fois, ce ne sont pas les outils et les ressources que nous utilisons. Pour moi, ce sont les relations, l'adhésion, labeaucoup l'effort d'équipe pour construire quelque chose de spécial », a déclaré McDaniel.

Au cours des quatre dernières années, le service informatique de la ville a été reconnu 11 fois au niveau national et national. C'est la troisième année consécutive qu'il remporte un prix national pour divers aspects de la technologie.