Comment l'IoT Cybersecurity Improvement Act façonne l'avenir des appareils connectés – Ce que les entreprises doivent savoir

Comment l'IoT Cybersecurity Improvement Act façonne l'avenir des appareils connectés – Ce que les entreprises doivent savoir

Les préoccupations de sécurité ont pris le centre de la scène dans les discussions sur l'Internet des objets (IoT). Une enquête récente a trouvé que près de 50 % des entreprises US utilisant des réseaux IoT ont subi une brèche de sécurité. La haute fréquence des incidents a aidé à déclencher le IoT Cybersecurity Improvement Act of 2017, un projet de loi fédéral qui, tout en visant principalement les vendeurs cherchant des contrats gouvernementaux, pourrait établir des standards de facto pour toute l'industrie.

L'objectif de l'Act est simple : établir des standards opérationnels de cybersécurité minimaux pour tout appareil connecté à Internet qu'une agence fédérale achète ou utilise. Sous la proposition, les vendeurs doivent satisfaire plusieurs exigences avant de pouvoir vendre au gouvernement :

• Les appareils doivent être exempts de vulnérabilités et défauts connus.
• Les appareils doivent supporter des mises à jour logicielles régulières et automatisées.
• Les appareils ne doivent pas contenir d'identifiants fixes ou codés en dur pour l'administration distante, la livraison de mises à jour, ou la communication.

Puisque les appareils IoT sont aussi ubiquitaires dans les réseaux privés, régulateurs et leaders d'industrie anticipent que des règles similaires pourraient être adoptées au-delà de l'approvisionnement fédéral. Les enjeux sont hauts : Ted Koppel a averti qu'une attaque IoT sur le réseau électrique US pourrait déclencher une panne nationale, et des chercheurs israéliens ont démontré qu'une attaque coordonnée sur des « ampoules intelligentes » pourrait paralyser un bloc de bureaux urbains.

Des brèches médiatisées, comme l'attaque DDoS sur le fournisseur DNS Dyn qui a coûté selon les rapports 8 % de son business à l'entreprise, illustrent à quel point les attaques centrées IoT peuvent être dévastatrices. Même si les attentes de régulation montent, les organisations doivent proactivement sécuriser leurs propres réseaux.

Mesures que chaque entreprise devrait prendre

Les pratiques de sécurité traditionnelles — patching, pare-feu, anti-spyware, et formation employés — sont nécessaires mais pas suffisantes contre les menaces uniques posées par l'IoT. Le mélange d'infrastructure cloud et d'appareils physiquement distribués demande un nouveau mindset sécurité. Voici des actions concrètes qui peuvent vous aider à la fois défendre contre les attaques et vous aligner avec la législation à venir :

• Chiffrer les clés au niveau appareil pour que chaque unité puisse être surveillée et gérée individuellement, plutôt que de compter sur une passerelle unique.
• Dériver des clés de chiffrement séparées pour fonctions distinctes (ex: authentification, chiffrement données, mises à jour firmware).
• Implémenter une rotation régulière des clés pour limiter la fenêtre d'opportunité pour un appareil compromis.
• Centraliser la visibilité et le contrôle pour pouvoir quarantainer ou désactiver instantanément les appareils suspects.
• Adopter des modules de sécurité basés hardware, qui fournissent une protection tamper-resistant que le logiciel seul ne peut égaler, une stratégie endossée par l'analyste Patrick Moorhead.

Selon IDC, l'investissement global dans l'IoT est projeté à atteindre 1,4 billion $ (1,17 billion €) d'ici 2021. Déjà, environ 25 milliards d'appareils sont connectés, et une étude Hewlett Packard a trouvé que 70-80 % manquent de chiffrement adéquat ou protection par mot de passe. Ces gaps en font des cibles de choix pour des attaques sophistiquées, soulignant l'urgence de mesures de sécurité robustes.

En adoptant les étapes ci-dessus, les entreprises peuvent construire des écosystèmes IoT résilients qui protègent les données sensibles, protègent les infrastructures critiques, et débloquent le plein potentiel économique de la technologie connectée.

Auteur : Amir Haleem, CEO de Helium