Évaluer la portée des récentes réglementations sur la sécurité de l'IoT

Les gouvernements du monde entier ont accéléré les actions réglementaires pour renforcer la sécurité de l'IoT, signalant un marché en maturation. Pourtant, gouverner le paysage de l'IoT reste complexe. Chaque texte législatif diffère, et son efficacité guidera la future politique. Comme l'explique Ken Munro, associé chez Pen Test Partners, la vraie mesure réside dans la manière dont ces règles sont adoptées, où elles réussissent et où elles échouent.

1. Loi sur l'amélioration de la cybersécurité de l'IoT de 2017 (États-Unis)
   Conçue pour sécuriser les appareils utilisés par les agences fédérales américaines, la loi exige que les appareils ne contiennent pas de vulnérabilités connues répertoriées dans la base de données du NIST, prennent en charge les mises à jour over-the-air, utilisent des identifiants fixes ou codés en dur pour l'administration à distance, et divulguent et corrigent rapidement les vulnérabilités. Cependant, la focalisation sur les entrées du NIST peut manquer des failles courantes telles que l'injection SQL dans les applications orientées client. Elle ne prend pas non plus en compte les protocoles RF qui fonctionnent sans identifiants, forçant la refonte de ces appareils. La loi n'a pas encore été promulguée ; d'autres projets de loi — Smart IoT Act, DIGIT Act, Security IoT Act, Cyber Shield Act, IoT Consumer TIPS Act — sont à l'étude.
2. Loi sur la cybersécurité (UE)
   En vigueur depuis mai 2018, cette législation désigne l'ENISA comme autorité de cybersécurité de l'UE et établit un cadre de certification volontaire pour les voitures connectées et les produits intelligents dans tous les États membres. La loi ne s'applique qu'aux infrastructures nationales critiques. Les fabricants peuvent demander une classification « basique », « substantielle » ou « élevée ». Les appareils de niveau « basique » peuvent effectuer leurs propres tests de conformité, tandis que l'ENISA peut émettre des avertissements pour améliorer la sécurité. Les mécanismes d'application ne sont pas spécifiés, et l'exigence de mises à jour ou de divulgation obligatoire des vulnérabilités reste optionnelle. La loi permet toutefois le signalement d'alerte et la divulgation responsable à travers l'Union.
3. SB-327 (Californie, États-Unis)
   Adoptée en août 2018, la Californie est devenue le premier État américain à réglementer la technologie intelligente. La loi impose des normes de sécurité de base pour les appareils grand public, entrant en vigueur en janvier 2020. Pourtant, le libellé — « sécurité appropriée conçue pour protéger » — est vague, permettant aux fabricants de revendiquer une intention sans garanties substantielles. Elle impose des mots de passe uniques mais ne traite pas les sources d'entropie. Les détaillants sont exemptés, risquant d'inonder le marché d'appareils non conformes avant l'entrée en vigueur. Aucune exigence de support de mise à jour n'est incluse.
4. Code de pratique pour la sécurité de l'IoT grand public (Royaume-Uni)
   Émis par le Digital, Culture, Media and Sport (DCMS) et incorporant le RGPD, ce code volontaire donne des lignes directrices aux fabricants, développeurs d'applications, fournisseurs de services et détaillants. Il interdit les mots de passe par défaut, impose le stockage sécurisé des identifiants et des données sensibles, et encourage les mises à jour logicielles. S'il recommande une politique de divulgation des vulnérabilités, il n'oblige pas les fournisseurs à publier des correctifs. Néanmoins, il marque une étape positive significative vers la sécurité de l'IoT grand public.

L'approche prédominante penche vers une régulation souple, soulevant la question de la conformité volontaire. Les fournisseurs IoT font face à une forte pression du marché ; l'adhésion volontaire aurait besoin d'avantages clairs ou de répercussions. Une pression menée par le marché pourrait s'exercer en accordant aux consommateurs le droit de retourner les biens intelligents vulnérables pour un crédit selon les normes commerciales, incitant les détaillants à ne stocker que des appareils conformes, et motivant les fabricants à rejoindre des schémas de classification et à soumettre leurs produits à des tests.

Il est encore trop tôt pour mesurer l'impact de l'autorégulation. Laisser la législation se stabiliser et l'industrie s'adapter clarifiera si des mesures punitives supplémentaires sont nécessaires.

Ken Munro, associé, Pen Test Partners, conseille régulièrement les départements gouvernementaux britanniques et américains et siège à divers conseils de consommateurs de l'UE sur la réglementation de l'IoT.