Sécurité IoT — Qui porte la responsabilité ?

Beaucoup voient encore les gens comme le maillon faible de la sécurité, mais la réalité est qu'un écosystème entier peut être vulnérable. L'IoT, avec son automatisation quasi-complète, est souvent à tort supposé sûr. Cette supposition est dangereuse : rien dans le cyberespace n'est intrinsèquement sécurisé.

Les appareils IoT sont un aimant pour les cybercriminels, et le paysage de menaces s'étend de 15 % par an pour atteindre 20 milliards d'unités estimées, selon IHS Markit. Pour contexte, les abonnements mobiles mondiaux dépassent 4,9 milliards selon la GSMA. L'ampleur pure de l'IoT éclipse largement les connexions mobiles P2P, amplifiant son potentiel de brèche, note Sanjay Khatri, directeur global marketing produit chez Cisco IoT.

La chaîne de valeur est longue et complexe — chaque maillon est essentiel mais interdépendant, et chacun représente une vulnérabilité potentielle. Aucun vendeur unique ne peut combler tous les gaps, donc la sécurité IoT prend vraiment un village.

Construire le village de sécurité IoT

Les fabricants d'appareils — souvent spécialistes en modules de communication ou capteurs — sont le maillon le plus visible. Ils ne sont pas nécessairement les fabricants des « choses » elles-mêmes, mais ils activent la connectivité. Assigner la responsabilité est critique : la partie avec le contrôle technique peut différer de ce que les utilisateurs finaux perçoivent comme responsable. Finalement, l'entreprise face à l'utilisateur final porte la responsabilité, car elle fait face aux conséquences si une brèche survient.

Les fournisseurs hardware peuvent être vus comme responsables, yet le software est fréquemment le point faible. Les développeurs doivent intégrer des contrôles d'authentification stricts, et le software IoT doit incorporer des mécanismes de détection et prévention de fraude pour protéger à la fois appareil et données.

Des vulnérabilités au niveau réseau surgissent où que les appareils atteignent Internet — via cellulaire, Wi-Fi, Bluetooth, LPWAN ou satellite. Le cellulaire offre déjà une base de sécurité avec standards globaux, clés de chiffrement et chiffrement basé SIM, et peut ségréger le trafic d'appareils en réseaux privés. Les autres protocoles sans fil requièrent des safeguards additionnels.

Les fournisseurs de plateformes cloud — comme IBM, Microsoft et Salesforce — jouent un rôle pivot. Ils sécurisent les données stockées dans le cloud et gèrent, surveillent et protègent la connectivité des appareils.

Sécuriser l'appareil

Le risque varie selon le cas d'usage. Protéger les appareils demande des couches : authentification, contrôle d'accès utilisateur et application, gestion du cycle de vie, et chiffrement des données. Les arbitrages coût-bénéfice deviennent prononcés quand on déploie des milliers d'unités, et les niveaux de sensibilité des données diffèrent. Savoir quels appareils sont en usage et quelles données ils collectent est la première étape vers une stratégie de sécurité sur mesure.

Protection réseau et données

Quand les appareils agissent comme passerelles, le réseau devient l'autoroute qui transporte les données vers les services cloud. Protéger ce canal est aussi vital que sécuriser les terminaux, car chaque couche réseau introduit des points d'entrée pour les attaquants. Le choix de connectivité sans fil (Wi-Fi, cellulaire) ou filaire dicte les protocoles de sécurité requis. Chiffrer les données en transit, les isoler dans des réseaux privés, et imposer l'authentification réseau pour vérifier et autoriser appareils et applications.

Couverture cloud

Le cœur de l'IoT repose sur des liens sécurisés vers le cloud, donc une sécurité cloud robuste est non-négociable. Les organisations devraient combiner contrôles digitaux et safeguards physiques et adhérer à des standards comme ISO/IEC 27001 pour former une fondation solide de sécurité de l'information.

Au-delà de l'environnement, des contrôles granulaires — accès basé sur les rôles et détection d'anomalies — sont essentiels pour les applications IoT. La gestion d'identité et les listes de contrôle d'accès doivent accorder aux bonnes personnes les bonnes permissions, pendant que la détection d'anomalies permet à la plateforme de repérer les comportements suspects et d'automatiser la remédiation.

La checklist sécurité IoT

La croissance IoT est massive, et avec l'opportunité vient le risque. Une approche holistique, style village, est essentielle, quoique challenginge. Pour affûter votre stratégie, focalisez sur :

• Identification et authentification de bout en bout pour chaque entité dans le service IoT (passerelles, appareils terminaux, réseaux domestiques, réseaux roaming, plateformes de service).
• Chiffrement de toutes les données utilisateur échangées entre appareils et serveurs backend.
• Conformité avec la législation locale vie privée et protection des données quand on gère des données personnelles ou régulées.
• Déploiement d'une plateforme de gestion de connectivité IoT avec politiques de sécurité basées sur règles qui déclenchent une action instantanée sur comportement anormal.
• Une posture de sécurité holistique au niveau réseau.

Auteur : Sanjay Khatri, directeur global marketing produit, Cisco IoT.