Le Centre national de cybersécurité (NCSC) deviendra un office fédéral
Le Département fédéral des finances (DFF) a pour mission d’élaborer d’ici fin 2022 des propositions concernant la structure du nouvel office et le département auquel il sera rattaché.
La cybersécurité est devenue, ces dernières années, de plus en plus importante à tous les niveaux. En 2019 déjà, le Conseil fédéral a posé une base fondamentale à cet égard en créant le CNSC, qui est rattaché au secrétariat général du DFF. Outre l’extension du service technique GovCERT, une gestion des vulnérabilités et un service de contact qui collecte les rapports sur les cyberincidents auprès de la population, des autorités et des entreprises ont été développés. Avec une quarantaine de collaborateurs, le NCSC remplit les tâches centrales dans le domaine de la protection de la Suisse contre les cybermenaces et soutient les exploitants d’infrastructures critiques dans la prévention et la résolution d’incidents, gère le service de contact pour l’économie privée et la population pour toutes les questions relatives à la cybersécurité et, en vue de l’introduction de l’obligation d’annoncer les cyberattaques, le Conseil fédéral le désigne à nouveau comme service central d’annonce.
Gianluca Tirozzi: “C’est ainsi que bitCorp va conquérir le métaspace!”
Association visant à accroître la cyberrésilience de la place financière suisse
Importance croissante de la cybersécurité
La cybersécurité devient de plus en plus importante, ce qui signifie que les tâches du NCSC deviennent également plus étendues et plus importantes. Le Conseil fédéral a examiné différentes options, telles que la séparation de l’administration fédérale centrale, la gestion conjointe avec les cantons ou la transformation en un partenariat public-privé. Elle est arrivée à la conclusion que, en tant que tâche importante de la politique de l’État, la cybersécurité devait continuer à être gérée directement par un conseiller fédéral, en renforçant le NCSC et en le transformant en office fédéral.
Le Conseil fédéral a chargé le DFF d’élaborer d’ici fin 2022 des propositions concernant la structure du nouvel office et le département auquel il sera rattaché.
Stratégie nationale contre les cyber-risques
Le Conseil fédéral a pris connaissance du rapport sur l’examen de l’efficacité de la Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC) 2018-2022 et a décidé d’augmenter les ressources en créant 25 postes supplémentaires dans ce domaine.
La mise en œuvre de l’actuel SNPC se terminera à la fin de 2022. Dans l’intervalle, la stratégie sera mise à jour et adaptée en fonction de la situation de la menace. La base de ce travail est l’examen de l’efficacité du SNPC au cours du second semestre 2021.
La mise en œuvre se déroule comme prévu et a jusqu’ici donné de très bons résultats : en coopération avec les universités, par exemple, des normes et des labels de qualité ont été élaborés, qui permettent aux organisations de vérifier et d’améliorer systématiquement leur cybersécurité. Grâce à la création de l’Institut national des tests de cybersécurité à Zoug, une expertise nationale est désormais développée pour l’analyse approfondie des produits informatiques. En outre, dans le cadre du projet d’introduction de la déclaration obligatoire des cyberattaques, le gouvernement fédéral a également élaboré une proposition visant à améliorer la cybersécurité par des mesures réglementaires. L’implication de nombreux représentants des cantons, des milieux économiques et des universités est cruciale pour le succès de la SNPC, tant dans la phase d’élaboration que dans sa mise en œuvre.
Recommandations pour la poursuite du développement
Pour que la future stratégie ait un effet encore meilleur, les résultats du rapport sur l’examen de l’efficacité de la SNPC 2018-2022 sont pris en compte dans ses travaux. Cette dernière montre, par exemple, que la stratégie est excessivement axée sur les infrastructures critiques, les grandes entreprises ainsi que les autorités nationales et cantonales, alors que pour les PME, les communes et la population, les effets directs sont encore trop limités. Les experts ont également identifié un potentiel d’optimisation dans la gestion de la mise en œuvre. La gouvernance doit être adaptée afin que les priorités et les nouvelles mesures puissent être décidées rapidement et avec souplesse à l’avenir.
Wirksamkeitsüberprüfung «Nationale Strategie zum Schutz der Schweiz vor CyberRisiken 2018 bis 2022»
Sur la base des résultats de l’examen de l’efficacité, le Conseil fédéral a décidé d’augmenter encore les ressources pour la protection contre les cyberrisques. A cet effet, il a autorisé la création de 25 postes, dont dix au Centre national de cybersécurité, six au Service de renseignement de la Confédération, deux à l’Office fédéral de l’informatique et de la télécommunication, deux au Département fédéral des affaires étrangères, et cinq dans des offices spécialisés dans divers domaines critiques (énergie, transports, aviation civile, télécommunications et santé). Les conditions préalables au nouveau SNPC sont donc réunies. La nouvelle stratégie sera également élaborée en étroite collaboration avec divers experts et constituera la base d’une protection commune, efficace et coordonnée de la Suisse contre les cybermenaces.
Rapport semestriel du NCSC sur les cyberincidents les plus importants en Suisse et à l’étranger au second semestre 2021
De nos jours, divers fournisseurs et prestataires tiers sont impliqués dans la production de biens et de services. Les attaques contre certains fournisseurs ou prestataires peuvent avoir de graves répercussions sur l’ensemble de la chaîne d’approvisionnement (blocage de la production, par exemple), comme le cas bien connu de l’entreprise de logiciels Kaseya au milieu de l’année 2021. Toujours en Suisse, une attaque DDoS contre un fournisseur d’hébergement a provoqué des perturbations temporaires sur divers sites web de la ville et du canton de Saint-Gall.
Des cas de fraude de plus en plus fréquents
Au cours des six mois examinés, le NCSC a reçu un total de 11 480 rapports de cyberincidents, dont beaucoup concernaient différents types de fraude. Dans la plupart des cas, il s’agissait d’e-mails envoyés au nom des autorités chargées des poursuites. Des arnaques au paiement anticipé, à l’investissement, aux PDG et à la publicité ont également été signalées. Les pirates informatiques agissent de manière de plus en plus ciblée et complexe. Avant d’agir, ils passent du temps avec la victime afin de gagner sa confiance.
Ransomware et fuite de données
Au second semestre 2021 également, de nombreuses attaques de ransomware ont eu lieu, avec lesquelles les attaquants chiffrent les données et demandent ensuite une rançon. De plus en plus, les pirates ont recours à la double extorsion et copient les données avant de les crypter, afin d’avoir plus de marge de manœuvre et d’exercer une plus grande pression. Si la victime ne veut pas payer la rançon, ils menacent de diffuser publiquement les données.
Vulnérabilités des composants logiciels
Les logiciels sont souvent développés à l’aide de composants existants, tels que des bibliothèques ou du code source ouvert. Toutefois, il peut y avoir des vulnérabilités dans ces composants, qui, lorsqu’elles sont découvertes, doivent être corrigées dans tous les produits contenant le composant en question. Ce problème est apparu en décembre 2021 avec la vulnérabilité critique de la bibliothèque Java populaire Log4j.
Le phishing reste à la mode
Depuis le début de la pandémie, le NCSC a reçu de nombreux rapports d’attaques de phishing lancées via des messages (e-mails ou SMS) annonçant l’arrivée imminente d’un colis ou des problèmes de livraison. Des tentatives de phishing contre le webmail et Microsoft 365 (anciennement Office 365) ont également été signalées. Les données d’accès obtenues de cette manière sont souvent utilisées pour falsifier des factures. Parmi les stratagèmes les plus répandus, on trouve également des courriels dans lesquels des fournisseurs d’accès à Internet autoproclamés tentent de faire croire à la victime qu’une facture a été payée deux fois.
Source : Secrétariat général du FDF efd.admin.ch