Renforcez vos défenses : Initiatives fédérales en matière de cybernétique pour un avenir sûr

In March 2023, the Biden administration unveiled a comprehensive national cybersecurity strategy. This set a bold vision for cybersecurity, emphasizing the need to defend critical infrastructure, dismantle cyber threats, drive market security, invest in a resilient future, and forge international partnerships. 

Building on this framework, the July 2024 White House memorandum from the Office of Management and Budget (OMB) and Office of the National Cyber Director (ONCD) outlines specific cybersecurity investment priorities for the future and provides a roadmap toward actionable, measurable outcomes. 

Le dernier mémo fait progresser plusieurs domaines clés mis en évidence dans la stratégie initiale : 

• Transition to zero trust architectures: It describes the need to move quickly to zero trust architectures, which demands rigorous, continuous verification of every user and device. 
• Enhance public-private collaboration: It calls for scaling efforts to share information, bolster resilience, and drive collective action against evolving threats.
• Bolster the cybersecurity workforce: It focuses on expanding recruitment, retention, and addressing the skills gap hampering defensive capabilities.
• Prepare for quantum computing challenges: It highlights the need for preparing for a post-quantum future – including transitioning to quantum-resistant cryptography – and federal dedication to crypto agility for a secure future.

It’s essential you understand each of these key areas – which we summarize below and also plan to tackle in an upcoming webinar. [Save your spot by registering here to stay ahead of today’s threats and prepare for tomorrow’s challenges.)

Améliorer votre stratégie de défense 

Les agences fédérales sont confrontées à des défis croissants en matière de cybersécurité, d'où la nécessité d'adopter des solutions avancées pour rester en sécurité. Nous allons donc nous pencher sur chacun des grands domaines abordés dans le mémo sur la cybersécurité, ainsi que sur les principaux enseignements à en tirer. 

Adopter la confiance zéro pour gérer l'identité et l'accès

One of the key mandates from the ONCD with the goal of defending critical infrastructure requires government agencies to submit updated zero trust plans within 120 days. A zero trust approach shifts away from traditional perimeter-based security to a model focused on minimizing trust and maximizing verification. 

Cette vérification est cruciale pour les identités des machines, qui sont plus nombreuses que les utilisateurs dans la plupart des environnements informatiques. Chaque appareil a besoin de sa propre identité et de ses propres références pour s'authentifier et communiquer en toute sécurité, et celles-ci doivent être gérées, mises à jour et révoquées si nécessaire. Cela crée un réseau complexe d'identités qui, s'il est mal géré, peut entraîner des lacunes et des vulnérabilités, comme une identité de machine compromise permettant un accès non autorisé à des zones sensibles d'un réseau ou provoquant des perturbations opérationnelles. 

Moreover, all data in transit across networks must be encrypted using TLS (transport layer security) certificates. This requirement is crucial to safeguarding information as it moves between systems and devices. Managing these TLS certificates at scale requires meticulous oversight, and improper identity or certificate management can have severe repercussions. The risks associated with certificate management failures were made apparent when leading certificate authority Entrust incorrectly issued thousands of extended validation TLS certificates in 2024. Effective identity and certificate management is crucial to prevent attackers from exploiting weaknesses to breach networks, exfiltrate data, or disrupt operations.

Principaux enseignements :

• Les organismes publics sont tenus de mettre à jour leurs plans de confiance zéro, en se concentrant sur la vérification rigoureuse des identités des machines pour tout ce qui touche au réseau.
• Une bonne gestion des certificats TLS est cruciale pour prévenir les brèches dans le réseau et les perturbations opérationnelles.
• La découverte et le contrôle continus des certificats sont essentiels pour garantir la confiance.

Combler le déficit de compétences en matière de cybersécurité

A well-managed environment is easier to defend, but this requires a two-fold approach: raising the skill level of our cybersecurity workforce and reducing the complexity of the environments they operate in. To address this, the ONCD memo emphasizes the need for proper tooling, particularly around public key infrastructure (PKI) management. 

Government-owned technology solutions are often managed on an application-by-application basis, contributing to operational complexity. Ad-hoc management not only drives up costs but also makes the hiring of skilled personnel harder, more expensive, and frequently redundant. When each application requires its own PKI management, agencies find themselves trapped in a cycle of inefficiency: staff must juggle disparate systems instead of focusing on enhancing security across the board. 

Centralizing PKI management helps overcome this challenge. Organizations can lower complexity and boost security maturity simultaneously by streamlining certificate management across the enterprise. Centralization also sets the stage for automation, allowing for more seamless integration of encryption and authentication across various platforms. With proper tools in place, security becomes more accessible to all staff members, not just specialized experts. 

Using the right tools can provide significant advantages for training and onboarding new talent. As more cyber technicians enter the workforce, they are best positioned for success when working with the tools they’ve been trained on, such as EJBCA, Active Directory, and other industry standards. Equipping new hires with familiar systems can reduce the learning curve for new staff, improve operational efficiency, and benefit overall cybersecurity health and resiliency. 

Principaux enseignements :

• La centralisation de la gestion de PKI peut réduire la complexité et améliorer la sécurité, ce qui facilite la défense des environnements.
• En équipant les nouveaux employés d'outils familiers, on améliore l'efficacité opérationnelle et on renforce la cybersécurité.

La collaboration entre les secteurs public et privé débouche sur des solutions sûres

D'autre part, ces outils doivent répondre aux besoins spécifiques et rigoureux des agences gouvernementales. Les ministères et les agences fédérales sont tenus d'adopter des solutions qui renforcent la sécurité et respectent des normes réglementaires et opérationnelles strictes. Cet aspect est particulièrement important lorsqu'il s'agit d'outils disponibles dans le commerce ou de open-source software . 

Open-source solutions can provide flexibility and innovation without sacrificing security when properly maintained and secured. The White House memo echoes this, encouraging agencies to contribute to and maintain open-source software components. However, when open-source components are in use, agencies must monitor code changes, identify and address vulnerabilities, and maintain the integrity of those components. Consistent oversight and security can be a challenge, without the right tools. 

Keyfactor solutions are designed to meet the high standards required by governments globally. In fact, we’re already helping several government entities manage identity programs with secure, compliant, centralized PKI management solutions. Our tools not only power the secure management of digital identities but also offer full transparency, rigorous compliance features, and automated security controls that support compliance with FIPS 140-2 and other NIST control families. Certificate lifecycle automation and secure encryption management with Keyfactor can help agencies maintain tight control over their PKI environments and meet compliance requirements. 

Principaux enseignements :

• Les agences gouvernementales doivent adopter des solutions sécurisées et conformes qui répondent à des normes réglementaires strictes.
• Keyfactor offrent une gestion centralisée de PKI , des contrôles de sécurité automatisés et une conformité à FIPS 140-2 et à d'autres normes NIST.

Se préparer à un avenir post-quantique

As the quantum computing revolution approaches, the federal government must prioritize the transition to post-quantum cryptography (PQC). Quantum computers hold the potential to break the encryption methods protecting our most sensitive data, and the shift to adapt will not be simple or easy. To make things more difficult, there are already signs that attackers appear to be acquiring encrypted data now for storage so they can decrypt later when the technology is available. This is commonly known as “capture then decrypt” but has the effect of moving the need to take action into the here and now, rather than something which can be put off while progress in the technology is monitored.

Outre l'identification des données les plus menacées par la méthode "capturer puis décrypter", une tâche critique et difficile de la transition consiste à dresser un inventaire complet de tous les certificats numériques du réseau d'une agence afin de bien comprendre comment les choses se passent et d'être en mesure de suivre les progrès. Chacun de ces certificats, utilisés pour chiffrer et authentifier les communications, doit faire l'objet d'un suivi pour détecter les changements, les vulnérabilités et les dates d'expiration. 

Without visibility, agencies risk exposing themselves to serious security gaps as they change cryptographic standards. We’ve learned lessons from the painful transition from SHA-1 to SHA-2–while manageable, the change was labor-intensive and slow. But speed will be of the essence in the face of the quantum computing threat, which will demand faster responses. 

Gaining a full understanding and control over certificate management is essential for protecting sensitive data as agencies prepare for the quantum future. A PKI platform that can manage this complex process across all certificate authorities will make the switch to PQC as painless as possible, protecting agencies from the cryptographic challenges quantum computing promises. 

Principaux enseignements :

• Le passage à la CQP nécessite un inventaire et une gestion complets des certificats numériques.
• Une plateforme PKI permettant ce processus facilitera le passage à la PQC, en garantissant une protection contre les menaces de l'informatique quantique.

Un regard vers l'avenir : Engagez-vous sur Keyfactor pour assurer l'avenir

Les enjeux pour les agences fédérales sont élevés - et ne cessent de croître. Votre cybersécurité doit évoluer pour répondre à toutes les menaces qui se profilent. '

Une collaboration efficace entre les secteurs public et privé est essentielle, et la mise en œuvre précoce des bons outils déterminera la capacité du gouvernement à s'adapter à ces défis. 

Avec des solutions de pointe pour la gestion centralisée de PKI , l'automatisation du cycle de vie des certificats et la surveillance de la conformité, Keyfactor permet aux entités gouvernementales de simplifier les opérations de sécurité, d'améliorer les capacités du personnel et de se préparer à l'avenir quantique. Nos plateformes sécurisées et conformes offrent visibilité, contrôle et automatisation pour gérer le chiffrement et la gestion des identités, aujourd'hui et dans l'ère post-quantique. 

Vous voulez renforcer votre cyberdéfense ? Participez à notre webinaire le 9 octobre 2024. Découvrez comment protéger votre environnement et rester en conformité avec les dernières normes fédérales, y compris les nouvelles directives de la Maison Blanche en matière de cybersécurité. Réservez votre place dès maintenant - vous serez mieux équipé pour relever les défis actuels en matière de cybersécurité et vous préparer aux menaces de demain.