La loi américaine sur la sécurité IoT établit de nouveaux standards et exigences de responsabilité

De nombreuses équipes IoT traitent encore la sécurité comme un ajout optionnel à faible priorité, invoquant coût et effort. Les acheteurs exigent rarement des dépenses supplémentaires pour une cybersécurité plus forte, et de nombreux produits en sont dépourvus. Pourtant, les législateurs commencent à faire de la sécurité robuste une exigence légale pour les appareils IoT grand public.

S'exprimant au IoT Security Summit d'IoT World Today, Katerina Megas, gestionnaire de programme au NIST, a souligné que plusieurs États ont déjà des lois exigeant que les appareils connectés incluent des « fonctionnalités de sécurité raisonnables ». En janvier 2020, la Californie et l'Oregon ont promulgué de tels statuts, et l'Illinois, le Massachusetts, New York et la Virginie ont des projets de loi similaires en attente ou à l'étude.

Au niveau fédéral, la Chambre a introduit H.R. 1668 — l'Internet of Things Cybersecurity Improvement Act of 2020 — en mars. Le projet de loi ordonne la création de « standards et lignes directrices pour le gouvernement fédéral sur l'utilisation et la gestion appropriées des appareils Internet of Things possédés ou contrôlés par une agence », incluant des exigences minimales de sécurité de l'information. La législation a passé les deux chambres et a été signée en loi le 4 décembre ; les standards et lignes directrices requis doivent être publiés dans les 90 jours.

Des lois exigeant l'implémentation de fonctionnalités de sécurité dans les appareils IoT commencent à être promulguées.

Bien que H.R. 1668 ne s'applique qu'aux appareils utilisés par le gouvernement américain, elle signale le début de mandats de cybersécurité plus larges qui couvriront éventuellement les systèmes industriels et grand public à l'échelle nationale. En 2019, le Congrès a créé la Commission Cyberspace Solarium, dont le premier rapport contenait plus de 80 recommandations, dont 50+ propositions législatives pour soutenir une stratégie de défense en profondeur. Beaucoup de ces propositions impactent à la fois les déploiements IoT gouvernementaux et commerciaux.

Trois propositions méritent une attention particulière des développeurs IoT :

• Une loi fédérale IoT exigeant des « mesures de sécurité raisonnables » alignées sur les guides NIST comme NISTIR 8259 — Activités fondamentales de cybersécurité pour fabricants d'appareils IoT.
• La création d'une Autorité nationale de certification et d'étiquetage en cybersécurité pour vérifier la conformité des appareils, s'étendant au-delà des systèmes fédéraux et industriels à l'électronique personnelle et grand public.
• Un cadre de responsabilité tenant les assembleurs de produits finis responsables des dommages si leurs appareils ne se défendent pas contre les vulnérabilités connues, faisant de la sécurité robuste un « must-have » légal indépendamment de la volonté des consommateurs à payer plus.

Le terme « fonctionnalités de sécurité raisonnables » reste largement défini. En Californie et Oregon, « raisonnable » exige simplement des mesures adaptées à la fonction de l'appareil et aux données qu'il traite, visant à prévenir l'accès, la divulgation, l'utilisation, la modification ou la destruction non autorisés. Des contrôles spécifiques ne sont pas prescrits.

Suivant la philosophie basée sur les résultats du NIST, ces lois évitent de prescrire des solutions techniques exactes. Elles exigent plutôt une posture de sécurité alignée avec le but et le profil de menace de l'appareil, laissant le choix des garde-fous aux équipes de développement. À mesure que le paysage juridique évolue, l'implémentation de la sécurité IoT passera de bonne pratique à conformité obligatoire.

>> Cet article a été publié à l'origine sur notre site frère, EDN.