La loi sur l'amélioration de la cybersécurité de l'IoT :qu'est-ce que cela signifie et comment s'y préparer ?

L'objectif de l'IoT Cybersecurity Improvement Act de 2017 est de « fournir des normes opérationnelles de cybersécurité minimales pour les appareils connectés à Internet achetés par les agences fédérales et à d'autres fins ».

En vertu de la législation proposée, les fournisseurs devront satisfaire à un certain nombre d'exigences avant de pouvoir passer un contrat avec des agences gouvernementales, notamment :

• Les appareils doivent être exempts de vulnérabilités et de défauts connus
• Les appareils doivent pouvoir recevoir des mises à jour logicielles régulières
• Les appareils ne doivent pas inclure d'informations d'identification fixes ou codées en dur utilisées pour l'administration à distance, la livraison de mises à jour ou la communication

Cependant, compte tenu de la sécurité et des implications économiques des réseaux IoT privés, il est tout à fait probable que de telles réglementations pourraient être étendues au-delà des contrats gouvernementaux. Ted Koppel a averti qu'une attaque IoT sur le réseau électrique américain pourrait provoquer une panne massive, et lorsque des chercheurs en Israël ont simulé une attaque contre des "ampoules intelligentes" pour contrôler les lumières dans un immeuble de bureaux, cela a montré qu'il ne s'agissait pas d'un simple alarmisme .

Pour les entreprises, de telles attaques peuvent constituer des menaces existentielles – fournisseur DNS Dyn a subi une attaque DDoS qui a peut-être coûté 8 % de son activité. Ainsi, même si nous pouvons certainement nous attendre à davantage de réglementations et de normes industrielles, les organisations doivent prendre leurs propres mesures proactives pour sécuriser leurs systèmes.

Mesures que chaque entreprise devrait prendre

Il doit être clair que les approches standard de sécurisation d'un réseau (correctifs, pare-feu, détection de logiciels espions, formation des employés, etc.) ne seront pas suffisantes pour endiguer les menaces IoT. La combinaison d'une infrastructure logicielle et d'appareils déployés à distance ajoute de nouvelles dimensions à la sécurité qui nécessitent une nouvelle façon de penser.

Cependant, il y a quelques mesures que les entreprises doivent prendre afin de s'assurer qu'elles peuvent non seulement empêcher les attaques, mais aussi se conformer à la législation à venir :

• Crypter les clés sur chaque appareil individuel pour plus de contrôle sur le réseau, car chaque appareil individuel peut être surveillé et géré (par opposition à une passerelle qui contrôle une zone/région spécifique)
• Utiliser uniquement des dérivés de clés de chiffrement pour des fonctions spécifiques
• Faites tourner régulièrement les clés afin que même si un appareil est compromis, il ne puisse être utilisé par un pirate que pendant une courte période
• Centralisez la visibilité et le contrôle du système afin de pouvoir mettre en quarantaine et désactiver directement les appareils suspects
• Tirer parti de la sécurité matérielle, ou de la protection produite par un appareil physique plutôt que par un logiciel installé sur un système informatique, une tactique qui, selon l'analyste Patrick Moorhead, est plus sûre que le logiciel car elle ne peut pas être modifiée et peut empêcher les logiciels malveillants d'infiltrer le système d'exploitation et la couche de virtualisation

Selon IDC , l'investissement dans l'IoT devrait totaliser 1 400 milliards de dollars (1,17 billion d'euros) d'ici 2021. Les systèmes IoT ont déjà mis en ligne environ vingt-cinq milliards d'appareils , et selon un Hewlett Packard étude, 70 à 80 % peuvent manquer de cryptage et de protection par mot de passe suffisante.

Ce sont des cibles de choix pour certains des pires types de cyberattaques imaginables, et les entreprises doivent prendre des mesures dès maintenant pour s'assurer qu'elles sont protégées. Cependant, avec la bonne approche, les entreprises peuvent créer des réseaux IoT hautement sécurisés, garantissant que l'énorme potentiel économique offert par l'IoT se concrétise.

L'auteur de ce blog est Amir Haleem, PDG d'Helium