SolarWinds - new report by GAO

A new 50 pages report produced by the GAO (United States Government Accountability Office) has been published on January 2022, on the "Federal Response to SolarWinds and Microsoft Exchange Incidents" (GAO-22-104746). 

Espagne - Stratégie de Sécurité Nationale 2021

C’est avec une année d’avance sur l’agenda qui aurait dû être le sien que l’Espagne a publié fin décembre 2021 sa stratégie de sécurité nationale (la précédente datait de 2017, la nouvelle aurait dû être publiée fin 2022). Cette publication anticipée est justifiée par un changement accéléré de l’environnement stratégique international : effets produits par la pandémie, accélération du recours à des stratégies hybrides (mélange d’actions étatiques et non étatiques pour faire pression sur les gouvernements démocratiques) dans le monde, changement climatique, cyberattaques, crise financière… Les incertitudes sont nombreuses, les Etats restent néanmoins toujours aussi interdépendants, le risque est alors grand de crises produisant leurs effets en cascade, avec des mouvements migratoires s’amplifiant, et potentiellement de nouveaux conflits armés. Pour faire face à ces défis les organisations internationales se trouvent face à un dilemme : d’un côté la tentation ou tendance au repli stratégique des Etats, de l’autre la nécessité de coopérer et partager l’information pour une approche collective des enjeux.

Le contexte international posé, le document décline alors une longue série de « risques et menaces » à la sécurité nationale : tension stratégique et régionale, terrorisme, épidémies, menaces contre les infrastructures critiques, catastrophes, espionnage et ingérence, désinformation, vulnérabilités du cyberespace, de l’espace maritime, maritime, aérospatial, instabilité économique, crime organisé flux migratoires illégaux, vulnérabilité énergétique, prolifération d’armes de destruction massive, effets du changement climatique.

Le paragraphe dédié aux menaces dans le cyberespace décline tous les mots clefs actuels : cyberattaques, ransomware, cybercrime, cyber-espionnage, surface d’attaque croissante, réseaux sociaux, télétravail, 5G, internet des objets, données, sécurité de l’information, intelligence artificielle, big data, algorithmes, vie privée, systèmes autonomes, et enfin informatique quantique.   

Le document énonce des principes et des objectifs assez généraux. En matière de protection du cyberespace par exemple, il est question d’en garantir un usage sûr, de protéger les droits des citoyens, le progrès économique et social, et pour cela il est nécessaire d’accroître les moyens technologiques, humaines et financiers au service de la cybersécurité.

The Heat Index, baromètre des cyberconflits

Le Heat Index est un indice produit par une équipe de la Johns Hopkins University. L’objectif de cet indice est d’évaluer la probabilité d’occurrence de futurs cyber conflits. L’indice est basé sur un ensemble de variables (capacités cyber des Etats, vulnérabilités, motivations, etc.) dont le traitement est supposé fournir une photographie, à l’instant t, de la situation internationale et du risque de cyberconflit. Si cette grille de lecture est intéressante, l’entreprise n’en reste pas moins discutable sur quelques points.

La base ne s’intéresse qu’à des conflits impliquant deux belligérants : Russie versus Ukraine, Chine versus Inde, etc. C’est d’ailleurs un choix assumé : “Cyber attacks by one country against another are a recurring feature of 21st Century geopolitics”. Mais c’est aussi un choix discutable. Les cyberconflits sont-ils voués à n’être que bilatéraux ? Sans doute non.

Le baromètre proposé n’offre guère de surprises, en termes d’informations. Arrivent en effet en tête du classement des cyber affrontements entre Russie et Ukraine, Chine et Inde, etc. Autant de scénarios connus. L’indice, en traitant des informations open-source, ne permet pas d’isoler de potentiels conflits jusqu’alors ignorés.

Le classement permet d’établit deux listes : celle des agresseurs (aggressors), celle des pays agressés (defenders). Le périmètre des agresseurs comprend : Russie, Chine, Israël, Etats-Unis, Corée du Nord, UK, Iran, Turquie, Inde, Egypte, Pakistan, Grèce. Celui des « agressés » comprend Ukraine, Inde, Iran, USA, Russie, Taïwan, Palestine, Japon, UK, Corée du Sud, Australie, Canada, Israël, Grèce, Népal, Ethiopie, Pakistan, Turquie.  Mais un nombre significatif de pays sont ainsi à la fois agresseurs et agressés. En reportant toutes les données dans une carte (voir l'illustration ci-dessous dans laquelle nous reportons les pays qui dans le baromètre apparaîssent comme agresseurs, défenseurs, mais aussi à la fois agresseurs et défenseurs), nous visualisons le monde des cyberconflits, en cours ou potentiels. On observe immédiatement que la planète serait coupée en deux univers, car le cyberconflit paraît épargner toute l’Amérique du Sud et l’Amérique centrale, pratiquement tout le continent africain, sans parler de l’Europe (!) et de l’Asie du Sud. Toute cette partie du monde serait donc vraiment épargnée par les cyberconflits, plus pacifique, moins belliqueuse, moins exposée à ce type d’affrontement ? Les trous dans la carte sont plus sûrement justifiables par la nature des données qui sont exploitées pour produire le baromètre.    

War, cyber war and cyber operation exclusion clauses

Last November 25, 2021, the Lloyd’s Market Association published 4 model clauses (LMA 5564/5565/5566/5567) titled “war,cyber war and cyber operation exclusion clauses”. The objective is to exclude from insurance and reinsurance policies, all losses caused by war and cyber operations.

I - The 4 clauses provide different levels of covers.

- Exclusion n°1 (LMA 5564): excludes losses from all kinds of cyberattacks by State actors

- Exclusion n°2 (LMA 5565): covers losses (with specified coverage limits): that are not due to retaliatory operations between the 5 “specified States”; that do not have a major detrimental impact on national security and defense

- Exclusion n°3 (LMA 5566): provides the same conditions as exclusion n°2, except that it does not specify coverage limits

- Exclusion n°4 (LMA 5567): same coverage as exclusion n°3, but it adds the coverage of effects on “bystanding cyber assets”. 

II - The four documents are titled “War, Cyber War and Cyber Operation Exclusion”. The definitions of “war” and “cyber operations” are provided. But no definition of “cyber war” is proposed. “Cyber operation means the use of a computer system by or on behalf of a state to disrupt, deny, degrade, manipulate or destroy information in a computer system of or in another state”.

III - Although the definition of “cyber operations” focuses on state-to-state aggressive activities, it also includes operations realized “on behalf” of a State. Such perimeter may include a wide spectrum of actors (state actors such as intelligence agencies, militaries, and non-state actors such as organized crime groups, terrorist organizations…) and situations.

IV - The approach is constructed on the basis of only 2 categories of actors: the State and the insurer.  

- State level:

o   “States: means sovereign state »

o   Government of the State (intelligence, security services) (who is in charge of the attribution process)

o   Vital functions of a State: “financial institutions and associated financial market infrastructure, health services or utility services”

o   “Specified States means China, France, Germany, Japan, Russia, UK or USA”

o   “Impacted state means any state where a cyber operation has had a major detrimental impact on: 11.1. the functioning of that state due to the direct or indirect effect of the cyber operation on the availability, integrity or delivery of an essential service in that state; and/or 11.2. the security or defence of that state.

o   Those who act “on behalf” of a State

- The insurer

V - The coverage of losses is based on the attribution of the cyber-operations. Who is in charge of the attribution?

a) the government of the State where the attacked system is located,

b) if the government of the State is unable to attribute the attack, then “it shall be for the insurer to prove attribution by reference to such other evidence as is available”. 

Report of the GAO on the implementation of FISMA requirements

The recent report of the GAO on the implementation of FISMA requirements, which was released on January 11, 2022, highlights the insufficient enforcement of the rules defined by law.

The Federal Information Security Modernization Act of 2014 (FISMA) was enacted to "provide a mechanism for improved oversight of agencies' information security programs". According to this new report, “inspectors general (IG) identified uneven implementation of cyber security policies and practices.” In 2020, “seven of the 23 civilian Chief Financial Officers Act of 1990 (CFO) agencies had effective agency-wide information security programs” (in 2017 and 2018, only 6 agencies complied with the rules, and 5 in 2019). 

GAO recommendations are only partially taken into account: “GAO has also routinely reported on agencies’ inconsistent implementation of federal cybersecurity policies and practices. Since 2010, GAO has made about 3,700 recommendations to agencies aimed at remedying cybersecurity shortcomings; about 900 were not yet fully implemented as of November 2021.”  The Department of Defense does not fully comply with the rules and this situation is impacting its cybersecurity: “90 percent of cyberattacks could be defeated by implementing basic cyber hygiene and sharing best practices”. The GAO made a series of recommendations to the DoD, so that the latter improves its “cyber hygiene”. But « As of December 2021, DOD had not yet implemented any of the seven recommendations ».  

What then are the reasons for such insufficient application of the law? Some have been formulated: according to the agencies, this is due to the « lack of resources » (be it human resources, time restrictions, etc.). They claim they do “not have enough time to implement new requirements and/or remediate findings identified in the annual FISMA reviews before the next FISMA review starts”. They also criticize the purely bureaucratic approach imposed on them by the FISMA: “FISMA reviews are too focused on compliance and are not focused enough on effectiveness”.  

Countering Russian State-Sponsored cyber-attacks

“Understanding and Mitigating Russian State-Sponsored Cyber Threats to U.S. Critical Infrastructure”. January 11, 2022. 

This document, co-authored by three US agencies (the CISA, NSA and FBI), provides an overview of Russian state-sponsored (APT) cyber-attack methods and actors. The document recalls a whole set of cybersecurity rules that organizations must put in place in order to anticipate attacks, detect them and know how to deal with them. The implementation of counter-attacks (offensive responses) is not mentioned in this report.

Budapest Convention on Cybercrime: 20 years of existence

The Budapest Convention on Cybercrime (ETS n°185) was enacted and opened for signature on November 23, 2001. Since then, the Convention ha entered into force in 66 countries worldwide.  The Council of Europe website provides the list of States which have adopted the Convention. We will emphasize that : 

- All EU member States are party to the Convention.

-  Great powers have joined in this project (the United States, Canada, Australia...). But many others, which appear to be hotspots of the international cybercrime, are absent (Brazil, China, Russia, India...)

The map below shows all of the countries in which the Convention has entered into force since 2001.

Even if the number of partners is honorable today, it should be noted that this result is the fruit of 20 years of work. The annual rate of integration remains relatively low (below, the number of countries which annually adopt the Convention).