L'essor de l'IdO : Pourquoi la sécurité doit être intégrée dès le premier jour

Les dispositifs grand public d'aujourd'hui – des bouilloires aux smart TV – sont de plus en plus connectés, transformant les objets du quotidien en « choses » connectées à Internet. Même les équipements médicaux comme les pacemakers et pompes à insuline reposent souvent sur des réseaux locaux. Selon Art Dahnert, consultant managing chez Synopsys, Inc., cette tendance s'accélère depuis des ans et ne montre aucun signe de ralentissement.

L'avantage de la connectivité vient avec un côté obscur : un nombre croissant de dispositifs IdO sont compromis. Les incidents médiatiques incluent des caméras de sécurité détournées en botnets, smart TVs utilisées pour la surveillance, et trackers fitness exploités pour découvrir des sites classifiés. Ces attaques surviennent généralement parce que le logiciel sous-jacent n'a pas été conçu avec la sécurité comme priorité.

Véhicules vulnérables

Les voitures modernes illustrent le problème vivement. Un seul véhicule aujourd'hui peut contenir plus de 100 micro-processeurs et des millions de lignes de code, supportant tous des fonctionnalités comme régulateur de vitesse adaptatif, assistance maintien de voie, stationnement autonome et freinage d'urgence. La course au marché et les bases de code complexes mènent souvent à la sécurité comme réflexion après coup. En 2016, un gang de Houston a volé plus de 30 Jeeps en exploitant des vulnérabilités logicielles qui contournaient les contrôles de sécurité du véhicule.

Ces incidents soulignent qu'un véhicule non sécurisé est une cible lucrative pour les attaquants, pas seulement pour le vol physique mais aussi pour l'exfiltration de données et le sabotage.

Que peut-on faire ?

Sécuriser l'IdO commence par un changement culturel : les entreprises doivent traiter la sécurité comme un élément fondamental plutôt qu'une réflexion après coup. Étapes clés :

• Formation Secure-by-Design : Équiper les équipes de développement avec des guidelines de meilleures pratiques pour écrire du code sécurisé et architecturer des systèmes qui isolent les données sensibles.
• Architecture sécurisée : Adopter des designs qui évitent de transmettre mots de passe ou jetons en clair et imposent une communication least-privilege entre composants.
• SDLC intégré : Intégrer des points de contrôle sécurité tout au long du cycle de vie de développement logiciel, incluant analyse statique de code à chaque build et tests de pénétration obligatoires avant mise en production.
• Surveillance continue : Déployer processus de mises à jour firmware et gestion des patches pour adresser promptement les vulnérabilités nouvellement découvertes.

La sécurité est un voyage, pas une destination. Avec la prolifération des dispositifs IdO – des bouilloires intelligentes aux véhicules autonomes – chaque « chose » connectée doit être conçue avec résilience à l'esprit pour protéger utilisateurs, données et infrastructures.

L'auteur de ce blog est Art Dahnert, consultant managing chez Synopsys, Inc.

À propos de l'auteur :

Art Dahnert est consultant en sécurité de l'information avec plus de 19 ans d'expérience IT, incluant plus de 9 ans en tests de pénétration d'applications. Il a réalisé des centaines d'évaluations de risques sécurité, tests de pénétration et évaluations de vulnérabilités sur plateformes web, desktop et mobiles. L'expertise de Dahnert s'étend des petites applications web aux grands systèmes bancaires d'entreprise et déploiements spécifiques militaires US.