L'agence de cybersécurité américaine CISA n'avait pas de plan d'intervention, révèle l'agence

L'agence fédérale américaine de cybersécurité, la CISA, a révélé qu'elle ne disposait pas d'un plan d'intervention préparé en mai, lorsqu'un journaliste d'investigation l'a alertée sur des clés et des identifiants sensibles exposés publiquement pour accéder aux systèmes du gouvernement américain. Le personnel de la CISA "a dû passer du temps à créer [un playbook] durant les premières étapes de l'incident", a déclaré l'agence dans un rapport post-mortem, soulignant l'importance de disposer de plans d'action pré-établis pour "tous les besoins anticipés".

L'agence, une unité du Department of Homeland Security chargée de défendre les réseaux fédéraux et les infrastructures critiques, n'a pas précisé combien de temps l'absence de playbook a retardé sa réponse. Un porte-parole n'a pas répondu immédiatement aux demandes de commentaires de TechCrunch.

La faille de sécurité a été signalée pour la première fois en mai par le journaliste spécialisé en cybersécurité Brian Krebs. Il a détaillé comment un chercheur en sécurité de la société de cybersécurité GitGuardian l'a alerté sur de nombreux mots de passe exposés et clés d'accès stockés dans un dépôt GitHub accessible publiquement, téléchargé par un employé d'un sous-traitant de la CISA.

Selon Krebs, le chercheur a tenté sans succès de notifier le sous-traitant. Ce n'est qu'après que Krebs a contacté la CISA que l'agence a supprimé le dépôt et révoqué ou remplacé les identifiants exposés pour prévenir tout abus potentiel. La CISA a déclaré qu'aucune donnée client ou de mission n'a été compromise et a remercié le chercheur et le journaliste pour leur aide. L'agence a reconnu que ses canaux de communication avec les chercheurs en sécurité pour signaler des incidents potentiels "n'étaient pas bien définis" et que des changements ont été apportés.