CISA : Cybersecurity and Infrastructure Security Agency
Sécurité
CISA : Cybersecurity and Infrastructure Security Agency. « Agence de cybersécurité et de sécurité des infrastructures », par analogie avec une caserne de pompiers fédérale qui éteint les feux numériques et placarde les consignes d'évacuation dans tout le pays.
Mission : Agence fédérale américaine rattachée au département de la Sécurité intérieure, chargée de défendre les réseaux civils fédéraux et d'appuyer les opérateurs d'infrastructures critiques.
Le catalogue des failles exploitées : Son catalogue KEV (Known Exploited Vulnerabilities) recense les vulnérabilités dont l'exploitation est avérée. Parmi les milliers de CVE (Common Vulnerabilities and Exposures) publiées, il désigne celles que quelqu'un utilise déjà, ce qui dispense de prioriser à l'instinct.
Guides et alertes : Elle publie avis, alertes conjointes avec ses homologues étrangers et guides de configuration, souvent gratuits et très concrets. Pour une administration, c'est presque de l'excentricité.
Homologues : Son équivalent français est l'ANSSI, l'européen l'ENISA. Les périmètres diffèrent ; les vulnérabilités, elles, voyagent sans passeport.
Ce qui arrive si on s'en passe
Une équipe qui ignore le catalogue KEV de la CISA priorise ses correctifs à l'instinct parmi des milliers de CVE, et traite la faille théorique au score flatteur avant celle que des attaquants exploitent déjà. Les avis et alertes conjointes, souvent gratuits et très concrets, restent non lus jusqu'au jour où l'incident en fournit un résumé personnalisé. Considérer que ces publications ne concernent que les administrations américaines, c'est oublier que les vulnérabilités ne s'arrêtent pas aux frontières. On peut toujours préférer découvrir une faille exploitée par soi-même ; c'est plus formateur, et nettement plus cher.
Explication de la marmotte
C'est l'agence du gouvernement des États-Unis chargée de protéger les ordinateurs et les réseaux importants du pays : ceux de l'administration, mais aussi ceux qui font tourner l'électricité, l'eau ou les transports. Elle prévient quand une faille dangereuse est utilisée par des pirates, publie des conseils gratuits et aide les organisations à se défendre. Sa liste des failles à corriger en priorité est consultée bien au-delà des frontières américaines.
Où ce terme est utilisé
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition (9 occurrences)
- CCCS Canada et ACSC Australie dans les Five Eyes (4 occurrences)
- CISA (4 occurrences)
- Dirty COW CVE-2016-5195 : course dans le copy-on-write Linux (3 occurrences)
- Comment les attaquants utilisent l'IA : de la CVE au zero-day (2 occurrences)
- Mettre en place une gestion récurrente des vulnérabilités (2 occurrences)
- MITRE ATT&CK et CVE en cybersécurité (2 occurrences)
- Patch management d’un parc de postes hétérogène (2 occurrences)
- Rust et la sécurité mémoire par construction, garanties et limites (2 occurrences)
- WannaCry et MS17-010 : fenêtre d'exposition et correctifs (2 occurrences)