La cybersécurité au sein du réseau
La sécurité de nombreux systèmes numériques qui façonnent notre quotidien est insuffisamment ou pas du tout contrôlée. L’Institut national de test pour la cybersécurité NTC est une organisation indépendante à but non lucratif précisément conçue pour combler ces lacunes.
Projets au sein du réseau: une prestation que ni l’État ni le marché ne fournissent
Avec ses projets au sein du réseau, le NTC assume une mission unique en Suisse. Ni les organismes du secteur privé ni les pouvoirs publics ne peuvent fournir de prestation comparable: les acteurs économiques suivent le principe de la concurrence et ne sont pas destinés à coordonner des groupements d’audit interorganisations. L’État, quant à lui, donne des impulsions importantes dans le domaine de la sécurité numérique, mais sa structure et sa base juridique actuelles ne lui donnent pas les moyens suffisants pour initier ou financer directement de telles coopérations.
Le NTC comble cette lacune: il réunit des organisations confrontées à des défis similaires, met en commun les ressources et réalise des contrôles de sécurité et des analyses de risques coordonnés. Les systèmes ou produits utilisés par plusieurs acteurs, comme les systèmes d’information clinique dans les hôpitaux ou les systèmes de gestion de l’énergie des installations photovoltaïques, sont testés par le NTC. Le NTC est une instance d’audit neutre qui établit des rapports techniques détaillés, qui sont exclusivement mis à la disposition des partenaires impliqués au sein du réseau. Un rapport de synthèse reprenant les principales conclusions est également publié. L’organisation génère ainsi une véritable valeur ajoutée pour le bien commun, sans compromettre la confidentialité.
Exemple pratique: les systèmes d’information hospitaliers
Les systèmes des systèmes d’information hospitaliers (SIH) sont le pilier numérique des hôpitaux modernes. Malgré ce rôle central, pendant longtemps, ils n’ont guère été contrôlés de manière indépendante en Suisse, en raison du manque de clarté en matière de compétences et du manque d’incitations. Le NTC a procédé à une analyse technique de sécurité sur trois SIC largement répandus. Résultat: plus de 40 vulnérabilités de gravité moyenne à grave, dont trois très critiques. Les fabricants concernés ont directement reçu les résultats et s’efforcent d’y remédier.
Comment se déroule un contrôle au sein du réseau?
Tout commence généralement par un soupçon initial. Après un premier examen, le NTC identifie les bons partenaires, définit avec eux l’étendue et le calendrier des tests et réalise ces derniers avec l’accord des parties concernées. Tous les partenaires reçoivent un rapport d’audit contenant les vulnérabilités, les évaluations et les recommandations d’action. Le NTC apporte également son soutien lors du processus de divulgation responsable.
Valeur ajoutée du réseau
- Efficacité en matière de coûts: les frais sont pris en charge par les participants au projet.
- Avantages systémiques: les résultats renforcent la sécurité de tous.
- Indépendance: le NTC fournit des rapports d’audit sans influence des fabricants ou des exploitants.
Conclusion
La cybersécurité est une tâche qui doit être abordée de manière commune. Les projets au sein du réseau du NTC créent une sécurité qui n’aurait pas été possible autrement et renforcent durablement la résilience numérique de la Suisse. Ils constituent un modèle de collaboration efficace entre les organisations et démontrent comment des audits ciblés peuvent protéger concrètement l’intérêt général.
