Hackney Council appels d’offres pour la mise à niveau de la cybersécurité

Le Conseil hackney de Londres fait appel d’offres pour de nouvelles capacités d’assurance de sécurité et évaluera un certain nombre de fournisseurs à assumer la tâche, à la suite d’une attaque ransomware sur ses systèmes l’année dernière qui, des mois plus tard, a laissé bon nombre de ses services clés perturbés.

Dans une demande de proposition (DP) affichée sur le marché numérique du gouvernement, le Conseil a déclaré qu’il avait l’intention d’établir et de gérer ses risques dans tous ses environnements TIC afin de minimiser le risque d’une cyberattaque future contre ses systèmes.

« Hackney Council est en train d’examiner la façon dont nous fournissons l’assurance de sécurité, à la suite d’une cyberattaque en Octobre 2020 et la mise en œuvre de changements au besoin, a écrit le conseil.

« Ce travail comprendra un examen de certains de nos outils technologiques ainsi que de nos mécanismes et processus de gouvernance. Ce travail sera soutenu par un travail simultané axé sur la culture de la sécurité au sein de l’équipe.

Le projet fournira deux axes de travail clés : l’examen et le renforcement des politiques, des processus et des procédures; et une analyse et la mise en œuvre de nouvelles capacités en matière de sécurité, de comportement et de compétences.

Le Conseil a déclaré qu’il avait déjà identifié un certain nombre de lacunes en matière de compétences et de pénuries de capacités de son propre chef qui pourraient entraver la mise en œuvre rapide du projet : recherche des utilisateurs visant à établir les comportements et les cultures actuels qui ont un impact sur la cybersécurité; l’analyse des affaires, de la procédure et de la politique afin de distiller cette information et de la transformer en pratique praticable; et la pratique de sécurité des cadres supérieurs pour aider à la conception de nouveaux processus, ainsi qu’à la prestation de la formation et des pratiques pratiques pratiques au personnel du conseil.

Le budget du projet se situe entre £200,000 et £250,000, hors TVA, et le programme devrait fonctionner pendant environ six mois, l’équipe sélectionnée travaillant aux côtés des membres du personnel du conseil « dans un style de projet agile », probablement à distance en raison de la pandémie. La date de clôture des demandes est fixée au 2 février 2021.

L’attaque contre les systèmes de Hackney, qui s’est déroulée pour la première fois en octobre 2020, a été qualifiée de « moralement répugnante » et de « tout à fait déplorable » par le maire de Hackney, Philip Glanville.

Elle a touché des milliers de Londoniens et provoqué des effets d’entraînement qui vont bien au-delà de la disponibilité des systèmes informatiques – par exemple, les achats de propriétés dans l’arrondissement sont au point mort.

Bien que le conseil ait d’abord hésité à divulguer la nature précise de l’attaque, il a été forcé de confirmer qu’il s’agissait d’un ransomware après que le gang Pysa/Mespinoza a divulgué certaines des données volées en ligne plus tôt en janvier dans le but de mener une double attaque d’extorsion.

Le fait que les données ont été divulguées du tout est un indicateur fort que le conseil n’a pas payé le gang – qui sont décrits par Emsisoft Brett Callow comme « horriblement amateur » – tout argent rançon et refuse sagement de le faire.