Technologies de l’information et cybersécurité : l’évolution du tableau de bord reste importante pour le suivi des progrès des agences

Ce que le GAO a trouvé

Depuis novembre 2015, les tableaux de bord publiés par ce sous-comité ont servi d’outils de surveillance efficaces pour surveiller la mise en œuvre par les agences de diverses dispositions légales en matière de TI et résoudre d’autres problèmes informatiques clés. Les dispositions sélectionnées proviennent de lois telles que la loi fédérale sur la réforme de l’acquisition des technologies de l’information (communément appelée FITARA) et la loi fédérale sur la modernisation de la sécurité de l’information de 2014. Les tableaux de bord ont attribué à chaque agence couverte une note alphabétique (c’est-à-dire A, B, C , D ou F) basés sur des composants dérivés d’exigences légales et de sujets supplémentaires liés à l’informatique.

En décembre 2022, quinze tableaux de bord avaient été publiés (voir figure).

Calendrier de publication des tableaux de bord avec les composants associés

Les notes attribuées par le sous-comité ont montré une amélioration constante, comme en témoigne la suppression (ou la temporisation) de composants. Par exemple, en 2020 et 2021, les 24 agences ont toutes reçu des notes A pour les licences logicielles et l’optimisation des centres de données, ce qui a entraîné la suppression de ces composants.

Malgré les améliorations apportées par l’utilisation du tableau de bord, les difficultés du gouvernement fédéral à acquérir, développer, gérer et sécuriser ses investissements en TI persistent. Une surveillance continue par le Congrès pour tenir les agences responsables de la mise en œuvre des dispositions statutaires et de la résolution des faiblesses de longue date est essentielle. Faire évoluer les composantes du tableau de bord pour s’adapter aux changements du paysage fédéral demeure également important.

À cette fin, le GAO a fourni des informations à ce sous-comité concernant des mesures supplémentaires qui pourraient être ajoutées, y compris des sujets liés à la modernisation du système informatique hérité et à l’expérience client. Le GAO a également fourni des informations sur les moyens d’améliorer la composante cybersécurité.

Il est essentiel d’envisager des moyens de faire évoluer les composants du tableau de bord pour accroître la capacité du Congrès à surveiller la mise en œuvre par les agences des dispositions légales en matière d’informatique et à aborder d’autres sujets informatiques clés. L’attention portée par l’agence à la mise en œuvre des recommandations du GAO peut également contribuer à apporter les améliorations nécessaires.

Pourquoi le GAO a fait cette étude

Les systèmes informatiques fédéraux fournissent des services essentiels qui sont essentiels à la santé, à l’économie et à la défense de la nation. Pour l’exercice 2023, le gouvernement fédéral prévoit de dépenser plus de 122 milliards de dollars en investissements informatiques.

Cependant, bon nombre de ces investissements ont souffert d’une gestion inefficace. De plus, les récents cyberincidents très médiatisés ont démontré l’urgence de remédier aux faiblesses de la cybersécurité.

Le GAO reconnaît depuis longtemps l’importance de résoudre ces difficultés en incluant la gestion des acquisitions et des opérations informatiques ainsi que la cybersécurité de la nation en tant que domaines sur sa liste à haut risque.

Pour améliorer la gestion de l’informatique, le Congrès et le président ont promulgué la FITARA en décembre 2014. La FITARA s’applique aux 24 agences soumises à la loi de 1990 sur les directeurs financiers, mais avec une applicabilité limitée au ministère de la Défense.

Le GAO a été invité à fournir un aperçu des tableaux de bord publiés par ce sous-comité et de l’importance de faire évoluer les composants. Pour ce témoignage, le GAO s’est appuyé sur ses produits précédemment émis.

Depuis 2010, le GAO a formulé environ 5 400 recommandations pour améliorer la gestion informatique et la cybersécurité. En décembre 2022, les agences fédérales avaient pleinement mis en œuvre environ 76 % d’entre elles. Cependant, de nombreuses recommandations critiques n’ont pas été mises en œuvre – près de 300 sur la gestion informatique et plus de 700 sur la cybersécurité.

Pour plus d’informations, contactez Carol C. Harris au (202) 512-4456 ou harriscc@gao.gov ou Jennifer R. Franks au (404) 679-1831 ou franksj@gao.gov.