Une attention particulière est nécessaire pour traiter les zones à haut risque
Ce que GAO a trouvé
Dans sa mise à jour de la série à haut risque de mars 2021, le GAO a signalé qu’une attention particulière était nécessaire pour améliorer la gestion par le gouvernement fédéral des acquisitions et des opérations de technologie de l’information (TI) et pour assurer la cybersécurité du pays. En ce qui concerne la gestion des TI, les progrès globaux dans ce domaine sont restés inchangés. Depuis 2019, le GAO a souligné que le Bureau de la gestion et du budget (OMB) et les agences fédérales couvertes doivent continuer à mettre pleinement en œuvre les exigences essentielles de la législation fédérale sur la réforme de l’acquisition informatique, connue sous le nom de Federal Information Technology Acquisition Reform Act (FITARA), pour mieux gérer des dizaines de milliards de dollars d’investissements informatiques. Par example:
- L’OMB a continué de démontrer son engagement en matière de leadership en publiant des directives pour mettre en œuvre les dispositions statutaires du FITARA, mais un leadership soutenu et une capacité accrue étaient nécessaires pour améliorer la gestion des TI par les agences.
- Les agences ont continué à faire des progrès en rapportant les jalons du FITARA et les plans de modernisation ou de remplacement des investissements informatiques obsolètes, mais un travail considérable restait à accomplir pour achever ces efforts.
- Les agences ont amélioré la participation des directeurs informatiques de leur agence dans le processus d’acquisition, mais des économies de coûts plus importantes pourraient être réalisées si les lacunes en matière d’acquisition informatique, telles que la réduction des contrats informatiques en double, étaient corrigées.
En mars 2021, le GAO a réitéré la nécessité pour les agences de relever quatre défis majeurs de cybersécurité auxquels le pays est confronté: (1) établir une stratégie globale de cybersécurité et effectuer une surveillance efficace, (2) sécuriser les systèmes et informations fédéraux, (3) protéger les infrastructures cybersécurité et (4) la protection de la vie privée et des données sensibles. Le GAO a identifié 10 actions à entreprendre par les agences pour relever ces défis. Cependant, depuis 2019, les progrès dans ce domaine ont régressé – la cote d’engagement du leadership du GAO pour 2021 est passée de respecté à partiellement atteint. Pour aider à combler le vide de leadership, en janvier 2021, le Congrès a adopté une loi établissant le Bureau du directeur national du cyberespace. Bien que le poste de directeur n’ait pas encore été pourvu, le 12 avril, le président a annoncé son candidat. Dans l’ensemble, le gouvernement fédéral doit agir avec un plus grand sentiment d’urgence pour relever pleinement les défis de la cybersécurité. En particulier:
- Élaborer et exécuter une stratégie fédérale plus complète pour la cybersécurité nationale et le cyberespace mondial. En septembre 2020, le GAO a indiqué que la cyberstratégie et le plan de mise en œuvre abordaient certaines des caractéristiques souhaitables des stratégies nationales, mais pas toutes, telles que les objectifs et les ressources nécessaires.
- Atténuer les risques liés à la chaîne d’approvisionnement mondiale. En décembre 2020, le GAO a signalé que peu des 23 agences fédérales civiles examinées avaient mis en œuvre des pratiques fondamentales pour gérer les risques liés à la chaîne d’approvisionnement des technologies de l’information et de la communication.
- Améliorer la réponse fédérale aux cyberincidents. En juillet 2019, le GAO a signalé que la plupart des 16 agences fédérales sélectionnées présentaient des lacunes dans au moins une des activités associées aux processus de réponse aux incidents.
Pourquoi GAO a réalisé cette étude
La gestion et la protection efficaces des TI constituent un défi de longue date au sein du gouvernement fédéral. Chaque année, le gouvernement fédéral dépense plus de 100 milliards de dollars en investissements informatiques et cybernétiques; cependant, bon nombre de ces investissements ont échoué ou ont mal fonctionné et ont souvent souffert d’une gestion inefficace.
En conséquence, le GAO a ajouté l’amélioration de la gestion des acquisitions et des opérations informatiques en tant que domaine à haut risque en février 2015. La sécurité de l’information se situe dans la zone à haut risque depuis 1997. Dans sa mise à jour de mars 2021 à haut risque, le GAO a signalé que des actions importantes étaient nécessaires pour traiter les acquisitions et les opérations informatiques. En outre, le GAO a noté le besoin urgent pour les agences de prendre 10 actions spécifiques sur quatre défis majeurs de cybersécurité.
Le GAO a été invité à témoigner sur les efforts des agences fédérales pour aborder la gestion de l’informatique et la cybersécurité. Pour ce témoignage, le GAO s’est principalement appuyé sur sa mise à jour à haut risque de mars 2021 et sur une sélection de travaux antérieurs sur des sujets informatiques et de cybersécurité.