Le gouvernement australien élabore des plans pour réorganiser les lois et réglementations en matière de cybersécurité à la suite d’une série de violations de données très médiatisées qui ont secoué le pays.

Des responsables gouvernementaux ont récemment publié ce qu'ils appellent un document de consultation qui présente des propositions spécifiques et sollicite la contribution du secteur privé dans une stratégie proclamée visant à positionner le pays comme un leader mondial en matière de cybersécurité d'ici 2030.

En plus de combler les lacunes des lois existantes sur la cybercriminalité, les législateurs australiens espèrent modifier la loi de 2018 sur la sécurité des infrastructures critiques (SOCI) afin de mettre davantage l'accent sur la prévention des menaces, le partage d'informations et la réponse aux cyberincidents.

Les faiblesses des capacités australiennes de réponse aux cyberincidents ont été mises en évidence lors de la cyberattaque de septembre 2022 contre le fournisseur de télécommunications Optus, suivie en octobre par une attaque basée sur un ransomware. attaque contre la caisse d'assurance maladie Medibank.

Des millions de documents sensibles, notamment des données biométriques sur les permis de conduire et des photos d'identité, ont été exposés après les attaquants ont gratté une base de données Optus contenant des dossiers de consommateurs ; le Violation de la Medibank a exposé des millions de dossiers médicaux de patients.

« Les deux violations étaient dues à des erreurs élémentaires et à une mauvaise hygiène informatique, elles étaient donc évitables », explique Richard Sorosina, directeur de la sécurité technique de Qualys Australie et Nouvelle-Zélande.

La cyber-résilience de l'Australie a fait l'objet d'un examen minutieux en novembre 2023, lorsqu'une panne à l'échelle nationale a interrompu les lignes fixes et mobiles d'Optus. clients sans accès à Internet. La panne a été imputée à un problème lié à la mise à jour de la table de routage Border Gateway Protocol (BGP).

Puis, quelques jours plus tard, une cyberattaque massive a frappé le secteur du transport maritime, ce qui a conduit à longues perturbations dans quatre ports australiens.

Réforme de la cyberstratégie

Les cyberattaques contre Optus, Medibank et les ports du pays ont été des incidents très médiatisés qui ont touché les citoyens et les entreprises, ce qui a placé la cybersécurité plus haut dans l'agenda politique du pays. En réponse, le gouvernement australien a révisé sa stratégie de cybersécurité et a lancé le processus de consultation sur les réformes législatives et réglementaires.

Clare O'Neil, ministre australienne de la cybersécurité, déclaré dans un communiqué que le gouvernement s'était engagé à travailler avec le secteur privé pour inaugurer une « nouvelle ère de partenariat public-privé visant à renforcer la cybersécurité et la résilience de l'Australie ».

Le nouveau projet de loi australien sur la cybersécurité couvre un large éventail de mesures, notamment l'obligation de normes de sécurité dès la conception pour les appareils Internet des objets (IoT), l'établissement d'une règle de signalement des ransomwares, la création d'une obligation « d'utilisation limitée » pour le partage d'informations sur les incidents et l'établissement d'un Comité national d'examen des incidents cybernétiques.

Également à l’ordre du jour : les réformes de la loi de 2018 sur la sécurité des infrastructures critiques, qui visent à remédier aux lacunes en matière de cybersécurité révélées par les récentes violations.

Ces révisions comprennent la fourniture de directives plus prescriptives pour les secteurs critiques comme les services publics et les télécommunications, la simplification du partage d'informations, la fourniture de directives pour les programmes de gestion des risques et la consolidation des exigences de sécurité pour le secteur des télécommunications en vertu de la loi SOCI pour les infrastructures critiques.

Casey Ellis, fondateur, président et directeur de la stratégie de Bugcrowd, affirme que le gouvernement australien prend les bonnes décisions. "Le document de consultation [Cyber ​​Security Strategy] aborde la sécurité de l'IoT, le reporting des ransomwares, le partage des incidents ainsi que la gestion, le reporting et la responsabilité des infrastructures critiques, qui sont tous certainement des domaines de faiblesse de la politique australienne", déclare Ellis.

Grand pays, grands défis en matière de cybersécurité

L’étendue du territoire australien rend difficile la protection des infrastructures critiques, en particulier pour les industries stratégiques comme l’exploitation minière, qui est très dispersée et possède des sites éloignés.

Pendant ce temps, les services publics miniers, maritimes et autres abandonnent les technologies traditionnelles et adoptent les technologies connectées à Internet et IoT pour gérer et surveiller plus efficacement leur infrastructure. Mais cette adoption de la transformation numérique a souvent exposé les équipements existants aux cybermenaces.

« Pour garantir que des attaques telles que celle contre les ports australiens restent isolées au lieu d'être monnaie courante, le gouvernement étudie à juste titre la manière de légiférer sur une politique d'infrastructure nationale critique et se tourne vers d'autres pays pour tirer des leçons sur la façon de protéger les surfaces d'attaque accrues supportées. de la convergence IT/OT », déclare Shane Read, RSSI chez Goldilock, une startup de cybersécurité physique.

Cependant, l'Australie n'a pas la taille et la population nécessaires pour faire cavalier seul. Il est donc logique, selon des experts indépendants, de faire référence à des normes mondiales connues dans la mesure du possible.

« L'Australie s'est tournée vers le Royaume-Uni, les États-Unis et l'Union européenne pour obtenir des conseils en matière de politique de cybersécurité », note Sorosina de Qualys.

Comme beaucoup d’autres pays, l’Australie a du mal à combler le déficit de compétences en matière de cybersécurité.

Phillip Ivancic, responsable des solutions APAC chez Synopsys Software Integrity Group, affirme qu'en raison de la petite population par rapport à la taille de l'économie, il existe une « énorme pénurie d'ingénieurs qualifiés et d'experts en cybersécurité » en Australie.

« C'est pourquoi la décision du gouvernement d'être plus prescriptif et de fournir de véritables orientations fondées sur des normes, ainsi que d'imposer le changement par le biais de mandats, devrait être saluée », déclare Ivancic. « Nous n’avons tout simplement pas la taille nécessaire pour nous lancer seuls, et imposer des normes internationales déjà largement utilisées est la bonne approche. »

Les propositions politiques du gouvernement manquent d'éléments clés tels que des contrôles autour des chaînes d'approvisionnement en logiciels, tels que des nomenclatures de logiciels répertoriant les composants qui composent les applications, selon Ivancic. Il s'agit là d'une « lacune flagrante », dit-il.

Investissements majeurs en cybersécurité

Le chemin pour devenir une nation cybersécurisée n’est pas uniquement une responsabilité gouvernementale. Conscient de son propre intérêt à améliorer les pratiques de cybersécurité, le secteur privé australien investit également énormément dans l’amélioration des pratiques de sécurité de l’information.

Les organisations australiennes dépenseront plus de 7.3 milliards de dollars australiens en produits et services de sécurité de l'information et de gestion des risques en 2024, soit une augmentation de 11.5 % par rapport à 2023. selon Gartner. La sécurité du cloud connaîtra la plus forte augmentation, atteignant 248 millions de dollars australiens (en hausse de 26.9 % sur un an).

L'augmentation des dépenses est due à une combinaison de cyberattaques très médiatisées et d'obligations réglementaires accrues, a écrit Gartner.

Ellis de BugCrowd estime que les efforts de l'Australie pour devenir un leader en matière de cybersécurité sont réalisables. "L'Australie a toujours été une nation d'innovateurs et de transgresseurs des règles, et je crois que l'objectif de devenir un leader mondial en matière de cybersécurité, bien qu'ambitieux, est réalisable."

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
• La source: https://www.darkreading.com/cyber-risk/australian-government-doubles-down-on-cybersecurity-in-wake-of-major-attacks