Cybersécurité : l’architecture Internet est considérée comme résiliente, mais les agences fédérales continuent de gérer les risques

Ce que le GAO a trouvé

Le secteur des communications exploite les multiples réseaux indépendants qui constituent la base d’Internet. Pour prendre en charge l’échange de trafic réseau, les fournisseurs de services gèrent et contrôlent les éléments d’infrastructure de base avec de nombreux composants, y compris des points d’échange Internet et des stations d’atterrissage de câbles sous-marins qui se connectent aux réseaux nationaux et internationaux (voir graphique). Plusieurs fournisseurs de services américains exploitent des réseaux centraux distincts qui traversent le pays et s’interconnectent en plusieurs points.

Comment les réseaux centraux Internet américains se connectent aux fournisseurs de services

Si les experts considèrent que l’architecture Internet est résiliente, elle est néanmoins confrontée à une variété de cyberrisques et de risques physiques qui peuvent avoir un impact sur ses composants ; ces risques peuvent être intentionnels ou non (voir tableau). En particulier, les risques liés à la cybersécurité peuvent avoir une incidence sur deux ensembles de protocoles nécessaires pour garantir l’unicité des noms utilisés dans les services Internet et pour faciliter l’acheminement des paquets de données. Plus précisément, le système de noms de domaine traduit les noms, tels que www.gao.gov, en adresses numériques utilisées par les ordinateurs et autres appareils pour acheminer les données. De plus, le protocole de passerelle frontalière est utilisé pour échanger la disponibilité du réseau et les informations de routage sur les réseaux individuels (c’est-à-dire les destinations). Ces deux protocoles sont menacés par des abus intentionnels par des acteurs malveillants, ainsi que par des défaillances involontaires. De plus, l’architecture Internet peut être impactée par des risques physiques, tels que la coupure ou le retrait de câbles à fibre optique.

Risques pour l’architecture Internet

Source : analyse du GAO des rapports fédéraux et non fédéraux. | GAO-22-104560

Les risques, s’ils se matérialisent, peuvent entraîner des incidents qui perturbent le bon fonctionnement d’Internet, notamment des pannes, une dégradation des performances et l’interception du trafic. Les panélistes siégeant à deux panels convoqués par le GAO ont également déclaré que le risque d’incidents intentionnels affectant l’architecture Internet dépend des capacités et des motivations des acteurs malveillants. Le GAO et d’autres ont signalé les menaces posées par les groupes criminels et les États-nations, entre autres, qui pourraient potentiellement utiliser leurs capacités pour avoir un impact sur les composants de l’architecture Internet. Par exemple, une évaluation des risques liés aux technologies de l’information du Département de la sécurité intérieure de 2017 a identifié le crime organisé et les États-nations comme des menaces pour les opérations fournissant des services de routage de noms de domaine.

Alors que le gouvernement américain réduisait son rôle concernant les composants de l’architecture Internet, notamment en mettant hors service les premiers réseaux qu’il avait développés et en abandonnant son rôle de surveillance des fonctions techniques Internet, ces responsabilités ont été transférées à la communauté multipartite mondiale. Aucune organisation n’est responsable de l’intégralité de la politique, des opérations et de la sécurité Internet. Cependant, le gouvernement fédéral remplit un certain nombre de rôles différents qui traitent directement des risques pour l’architecture Internet (voir tableau). Pour remplir ces rôles, les agences ont pris des mesures. Par exemple, le DHS a travaillé avec des membres des secteurs des infrastructures essentielles des communications et des technologies de l’information pour, entre autres, effectuer des évaluations des risques sur la capacité des secteurs à fournir des fonctions Internet. En outre, la Federal Communications Commission a un impact sur la sécurité de l’architecture Internet en autorisant des câbles sous-marins et des stations d’atterrissage, et en administrant un programme de retrait et de remplacement des équipements considérés comme présentant un risque inacceptable pour la sécurité nationale.

Rôles fédéraux dans la sécurité de l’architecture des infrastructures

Source : analyse du GAO de la législation et de la politique fédérales, documentation de l’agence et rapports antérieurs du GAO. | GAO-22-104560

Pourquoi le GAO a fait cette étude

Internet est un système mondial de réseaux interconnectés utilisé par des milliards de personnes à travers le monde pour effectuer des tâches personnelles, éducatives, commerciales et gouvernementales. Au fil du temps, le gouvernement américain a renoncé à son rôle de surveillance d’Internet. Une communauté mondiale multipartite composée de nombreuses organisations façonne la politique, les opérations et la sécurité d’Internet. Mais la dépendance continue et croissante à Internet souligne la nécessité de comprendre les risques liés à son architecture sous-jacente.

Le rapport du comité de la Chambre sur les services armés accompagnant le William M. (Mac) Thornberry National Defence Authorization Act for Fiscal Year 2021 comprenait une disposition permettant au GAO d’examiner la sécurité de l’architecture Internet. Ce rapport (1) identifie les risques de sécurité liés à l’architecture Internet et (2) détermine dans quelle mesure les agences fédérales américaines ont pris des mesures pour faire face aux risques de sécurité de l’architecture Internet.

Le GAO a collecté et analysé des rapports accessibles au public provenant d’organisations fédérales et non fédérales afin d’identifier les risques pour les composants de l’architecture Internet (points d’échange Internet, câblage sous-marin, système de noms de domaine et protocole de passerelle frontalière, entre autres). Le GAO a également examiné la loi et la politique fédérales et ses travaux antérieurs pour identifier les rôles de sécurité de l’architecture Internet fédérale et les agences responsables. Sur la base des rôles des agences, le GAO a collecté et analysé les documents pertinents et mené des entretiens avec des responsables des agences responsables.

En outre, le GAO a convoqué deux panels avec des experts en la matière. Les panélistes ont de l’expérience dans divers aspects de l’architecture Internet, tels que la possession et l’exploitation d’éléments de l’infrastructure, la participation et la contribution à des organisations de normalisation, et l’étude et la participation à diverses entités de gouvernance multipartites.

Au cours des tables rondes, le GAO a présenté les risques cyber et physiques précédemment identifiés et a demandé aux experts d’identifier les risques ou préoccupations supplémentaires qui n’avaient pas été identifiés. Le GAO et les experts ont également discuté de l’implication du gouvernement fédéral dans la gestion des risques.

Pour plus d’informations, contactez David B. Hinchman au (214) 777-5719 ou hinchmand@gao.gov.