La CISA, agence cybernétique américaine, admet n'avoir pas eu de plan de réponse après qu'un employé ait fait fuiter des identifiants sur GitHub.
L'agence américaine de cybersécurité (CISA) a révélé avoir dû élaborer un plan d'intervention d'urgence en temps réel après la fuite publique de données d'accès sensibles au système gouvernemental par un contractant sur GitHub.
La Cybersecurité et l'Infrastructure Security Agency (CISA) des États-Unis a admis, dans son rapport post-mortem, qu'elle ne disposait pas de plan d'intervention (playbook) préparé à l'avance pour l'incident de fuite de données sensibles dans le cloud survenu en mai dernier. Cela a obligé les équipes à « passer du temps à créer [le playbook] au début de l'incident » tout en résolvant le problème au fur et à mesure.
L'incident a débuté en mai, lorsque des chercheurs en sécurité de la société GitGuardian ont découvert une grande quantité de données sensibles, telles que des clés et des identifiants (credentials), permettant d'accéder aux systèmes du gouvernement américain. Ces données étaient stockées dans un dépôt GitHub public (un espace de stockage et de gestion de code). Elles avaient été téléchargées par un employé d'un contractant travaillant pour la CISA elle-même. Les chercheurs ont tenté de contacter directement la société contractante pour l'alerter, mais n'ont reçu aucune réponse.
L'affaire a été rendue publique après que les chercheurs aient informé Brian Krebs, un journaliste d'investigation indépendant spécialisé en cybersécurité, qui a alors contacté directement la CISA. Ce n'est qu'après avoir été contactée par le journaliste que la CISA a agi, en retirant le dépôt en question et en révoquant ou modifiant immédiatement toutes les données sensibles divulguées.
Le point intéressant est que la CISA est une agence qui, depuis de nombreuses années, promeut et exhorte les organisations, tant publiques que privées, à créer des playbooks pour répondre à divers types d'incidents cybernétiques. Pourtant, dans son dernier rapport, l'agence admet elle-même avoir « échoué à créer un playbook GitHub/Cloud auparavant » spécifiquement pour ce type de situation. Cependant, la CISA affirme que son examen post-incident n'a trouvé aucune preuve que des acteurs malveillants aient utilisé les données divulguées, et qu'aucune donnée client ou autre information sensible n'a été affectée.
Cet incident est un rappel important que même une agence nationale de cybersécurité peut avoir des lacunes dans ses processus. Il souligne l'importance d'avoir des plans d'intervention préparés à l'avance pour toutes les situations, et non pas seulement les élaborer une fois qu'un problème survient.