Sécuriser les travailleurs à domicile : Affronter le paysage des menaces IoT

Greg Day de Palo Alto Networks

Avec l'effacement des frontières entre bureau et domicile, les appareils IoT d'entreprise et personnels se chevauchent de plus en plus — créant de nouveaux défis de cybersécurité qui exigent une réponse collective des entreprises et des travailleurs à domicile, explique Greg Day, VP et CSO EMEA chez Palo Alto Networks.

IoT non-professionnel inondant les réseaux d'entreprise

La montée du travail à distance et hybride a causé une présence plus fréquente de gadgets IoT grand public sur les réseaux d'entreprise. Notre étude de deux ans sur la sécurité IoT, couvrant 18 pays en EMEA, APAC et Amériques, suit cette tendance.

L'étude 2021 a trouvé que 78 % des dirigeants IT mondiaux — dont les organisations hébergent déjà des appareils IoT — ont signalé une hausse des connexions IoT non-professionnelles via les travailleurs à distance sur l'année écoulée. Aux États-Unis, le chiffre grimpe à 84 %.

Les appareils eux-mêmes sont divers. Les gadgets IoT non-professionnels les plus fréquemment signalés sont les moniteurs médicaux portables, suivis par les ampoules intelligentes, équipements de gym connectés, machines à café, consoles de jeu, et même distributeurs pour animaux. La tendance reflète le boom simultané des kits maison intelligente et wearables santé/fitness alimentés par les habitudes WFH.

Failles et menaces de cybersécurité

Bien que la gamme d'appareils puisse sembler anecdotique, ils posent une menace sérieuse : un seul gadget vulnérable peut devenir un vecteur d'attaque. De nombreux produits IoT grand public manquent de sécurité robuste — coûtant souvent sous 100 $ (88,59 €) — et sont construits sans les standards de codage rigoureux des logiciels d'entreprise, menant à des correctifs lents et des vulnérabilités persistantes.

Unit 42, l'unité de threat intelligence de Palo Alto Networks, a documenté des attaques exploitant des vulnérabilités IoT de bureau à domicile. En février 2021, une variante Mirai a ciblé des failles de sécurité sur de nombreux appareils grand public. Plus alarmant, des preuves récentes montrent des groupes ransomware déployant la souche eCh0raix pour cibler les NAS des travailleurs à domicile. La stratégie semble utiliser des gadgets personnels compromis comme têtes de pont pour des attaques de supply chain sur de grandes entreprises, où le paiement de rançon potentiel est substantiel.

L'étude confirme que l'IoT grand public est un risque significatif pour les entreprises. À l'échelle mondiale, 81 % des dirigeants IT dont les réseaux hébergent des appareils IoT ont cité le passage au travail à distance dû à la pandémie comme augmentant l'exposition aux appareils non sécurisés. Dans 78 % de ces cas, le risque accru s'est manifesté par une hausse des incidents de sécurité liés à l'IoT.

Avec le travail à distance et la prolifération IoT voués à persister, la pression monte pour renforcer les défenses IoT. Notre enquête mondiale a révélé que 96 % des répondants en 2021 — et 95 % en 2020 — estimaient que la stratégie de sécurité IoT de leur organisation nécessitait une amélioration, et 25 % préconisaient une refonte complète.

Comment les travailleurs WFH peuvent aider

Une atténuation efficace requiert une stratégie à trois niveaux qui commence à la maison.

Les organisations doivent éduquer et mandater le personnel à distance à élever l'hygiène cyber à domicile, en commençant par la configuration du routeur. Actions clés : mettre à jour les paramètres par défaut, activer WPA3 Personnel (ou WPA2 Personnel si indisponible), et auditer les appareils connectés — désactiver ceux inutilisés.

De plus, les travailleurs à distance devraient exploiter la capacité de micro-segmentation commune dans le firmware des routeurs pour créer des réseaux distincts — séparant les invités et appareils IoT du trafic d'entreprise.

La segmentation reste essentielle pour les environnements d'entreprise et domestiques. L'enquête montre que 51 % des dirigeants IT avec appareils IoT signalent les séparer sur des réseaux dédiés distincts des systèmes critiques comme RH, email ou finance. Pourtant, un leader sur cinq avoue que leurs appareils IoT partagent le même réseau que les applications critiques, et au UK, ce déficit atteint un sur trois — indiquant aucune segmentation.

Enfin, les entreprises devraient abandonner le modèle hub-and-spoke qui entonnoie tout le trafic via un VPN unique. Dans le paysage de connectivité hétérogène d'aujourd'hui, une approche taille unique échoue. Les utilisateurs désactivent fréquemment les VPN pour accéder à des services essentiels comme la visioconférence. Une sécurité edge-based, context-aware peut fournir une protection transparente sans perturber le workflow, supprimant l'incitation à désactiver les safeguards.

Appliquer le zero trust

Une protection IoT robuste repose aussi sur des contrôles internes qui empêchent les appareils voyous de rejoindre le réseau d'entreprise.

L'implémentation de politiques d'accès au moindre privilège assure que seuls les appareils et utilisateurs vérifiés peuvent se connecter. Les frameworks Zero-Trust aident à prévenir l'exposition de données et à sauvegarder la continuité d'activité en vérifiant continuellement la fiabilité de chaque appareil.

La surveillance temps réel est essentielle pour la sécurité IoT. Elle fournit un inventaire à jour — incluant les appareils invisibles et oubliés — permettant aux organisations de tirer parti des capacités de pare-feu existantes pour auto-recommander et appliquer des politiques basées sur le risque. Une solution consolidée peut étendre la sécurité d'entreprise aux travailleurs à distance, livrant une gestion de politique unifiée et Secure Access Service Edge (SASE) pour une protection context-aware.

N'attendez pas une solution légale

Bien que les régulations à venir visent à contraindre les fabricants à intégrer une sécurité plus forte, les lois EU et UK restent naissantes et prendront des années pour prendre effet. La responsabilité de défenses IoT robustes incombe ultimement aux employés et à leurs organisations.

Compte tenu du rôle central de l'IoT dans le travail et la vie modernes, les organisations doivent évoluer de la cybersécurité réactive à proactive — en intégrant l'hygiène cyber à tous les niveaux, de la C-suite à chaque employé. Une telle culture encourage l'investissement dans des pratiques préventives qui dissuadent les attaques et mitiguent les dommages même d'appareils apparemment anodins.

— Greg Day, VP et CSO EMEA, Palo Alto Networks.