Alarme sécurité IoT : enquête montre 84 % s'attendent à une violation

Malgré la prolifération des appareils connectés, la grande majorité du matériel IoT est expédiée sans sécurité robuste. En pratique, beaucoup manquent de chiffrement de base, en faisant des cibles triviales pour les attaquants.

Pour quantifier le risque et évaluer la préparation des entreprises, la troisième étude annuelle « Companies Don't Know What They Don't Know » a été publiée en mai 2019 par Shared Assessments et le Ponemon Institute, deux autorités respectées en mesure du cyber-risque. L'enquête a recueilli les avis de 625 dirigeants seniors en risque et gouvernance.

Les résultats clés soulignent un décalage saisissant entre exposition et préparation :

• 26 % des répondants ont signalé une violation de données causée par un appareil IoT non sécurisé.
• 84 % estiment qu'une violation de données provenant d'un actif IoT est très probable dans leur organisation.
• 87 % considèrent une attaque pilotée par l'IoT, comme un DDoS, hautement probable dans les deux prochaines années.
• 27 % des conseils d'administration exigent maintenant des preuves claires que le risque IoT est évalué, géré et surveillé.
• Seulement 11 % des entreprises forment actuellement leur personnel aux menaces uniques posées par les appareils IoT.

Ces résultats dressent le tableau d'une « tempête parfaite » : des appareils insécurisés sont déployés dans des environnements mal préparés à les sécuriser.

Le changement ne peut venir des seuls fabricants. À moins que les acheteurs ne l'exigent, les vendeurs sont peu enclins à investir massivement dans les fonctions de sécurité. Le vrai catalyseur sera les entreprises qui s'appuient sur l'IoT pour piloter leurs opérations.

De nombreuses organisations commencent à rédiger des politiques IoT complètes, appliquer des contrôles, et lancer des programmes de sensibilisation à la sécurité. Les membres des conseils prennent conscience, et les appareils ne répondant pas aux nouveaux standards d'entreprise sont progressivement éliminés.

C'est le moment pour les fabricants IoT d'intégrer les standards de sécurité de l'industrie dans leurs produits et de fournir des capacités permettant aux entreprises de gérer centralement une flotte d'appareils diversifiée. S'ils n'agissent pas, les clients chercheront des alternatives offrant une vraie protection.

– Niall Browne, vice-président senior de la confiance et sécurité, CISO chez Domo, Inc., et membre du comité de pilotage Shared Assessments.

Publié à l'origine sur EE Times : « IoT Security Looks Grim in Survey. »