Garantir la cybersécurité et la confidentialité dans l'adoption de l'IoT

L'Internet des objets n'en est qu'à ses débuts, mais à mesure que les appareils sont de plus en plus mis en réseau, les implications en matière de sécurité commencent à causer des maux de tête aux entreprises. Contrairement aux consommateurs, le « piratage » des entreprises se traduit beaucoup plus immédiatement par des dommages à la réputation, des pertes de revenus ou même des demandes d'indemnisation.

Le plus gros risque pour la sécurité en ligne d'une entreprise vient des employés, déclare Jack Warner, expert en cybersécurité chez TechWarn . Un personnel mal formé ou un manque de politiques informatiques claires encouragent un comportement imprudent et une gestion imprudente des données sensibles. Les employés peuvent ne pas être conscients des fonctionnalités et des risques d'un appareil, ou avoir l'esprit hostile à la sécurité pour remarquer des fuites potentiellement dommageables.

Plus que jamais, il est important pour les entreprises de faire réviser tout l'équipement de bureau par une équipe d'ingénieurs soucieuse de la sécurité. Il doit y avoir des politiques claires en place pour savoir quelles données sont autorisées à être collectées par les appareils, et des règles auxquelles les données doivent adhérer. Cette politique doit s'appliquer de la même manière aux données collectées par les appareils détenus et déployés par l'entreprise, ainsi que par les employés.

Étude de cas :données de l'application Fitness

En novembre 2017, l'application fitness Strava publié les données collectées par ses utilisateurs. Même si les données étaient déjà anonymisées, elles ont tout de même suscité une grande attention car les analystes ont découvert que les données révélaient l'emplacement de bases militaires secrètes, car les soldats portaient leurs appareils IoT de fitness tout en faisant du jogging autour de la base, en patrouille ou en s'entraînant.

Les itinéraires d'entraînement ont décrit la taille et l'emplacement des bases, ont donné une estimation du nombre de soldats qui y sont stationnés et même quelle pourrait être la fréquence approximative des patrouilles. La fuite de données Strava représente un risque de sécurité énorme pour le fonctionnement des forces américaines et est entièrement auto-infligée.

De telles informations peuvent également facilement nuire à une organisation commerciale. Les emplacements de test, les emplacements de dépistage ou les routines de livraison peuvent bien être la propriété intellectuelle bien protégée d'une organisation.

Il existe de nombreux autres appareils IoT que les employés peuvent utiliser avec désinvolture et qui révèlent des données sensibles. Les téléphones du personnel peuvent enregistrer leur emplacement et être utilisés pour prendre des photos. Les employés peuvent partager par inadvertance leur emplacement via les réseaux sociaux ou utiliser une application de scanner intelligent sur leur téléphone pour convertir des données sensibles en pdf. Les mots de passe peuvent être collés dans le dossier brouillon des comptes de messagerie personnels, ou les informations client peuvent se retrouver dans la liste de contacts personnelle d'un employé, d'où elles sont téléchargées vers diverses applications.

Appareils en réseau dans les bureaux

Lorsque la sécurité de l'information n'est pas prise en compte dès le départ, le bureau type peut déjà être rempli d'appareils qui ne respectent pas la vie privée et créent des fuites de sécurité. Par exemple, une imprimante peut conserver des documents imprimés pendant une longue période (ou même les télécharger en ligne) et les purificateurs d'air peuvent mettre les données collectées à la disposition d'un serveur central.

Même les systèmes tels que les thermostats, les lampes ou les serrures de porte sont souvent dotés de capacités réseau et peuvent partager leurs données avec des annonceurs ou au moins un service cloud central. Au minimum, cela ouvre des opportunités pour les intrus ou les concurrents d'avoir accès aux secrets de l'entreprise.

Réseaux et intranets d'entreprise

Alors que nous sommes devenus plus sensibles aux informations accessibles au public, les bases de données internes et les réseaux d'organisations sont encore trop souvent considérés comme « sûrs ». C'est souvent ici que les pirates ont carte blanche et, une fois à l'intérieur du réseau, peuvent tirer parti de leur position privilégiée pour se connecter aux bases de données, infecter les ordinateurs avec des virus ou saboter des équipements critiques.

Les routeurs font partie des équipements les plus négligés des réseaux de bureau. Alors que les appareils des employés reçoivent des mises à jour automatiques régulières et que les serveurs sont très préoccupants, les routeurs sont rarement inspectés et ne reçoivent pas de mises à jour. Pourtant, tout le trafic de l'entreprise passera par eux, et toute personne contrôlant le routeur peut intercepter, malformer, injecter ou modifier toutes les données envoyées à Internet et à d'autres appareils internes.

Un bon routeur VPN n'est pas difficile à trouver, mais les différences de prix entre les modèles peuvent être immenses et leur avantage pas évident pour l'acheteur et l'opérateur.

Dépendance envers les fournisseurs d'hébergement tiers

La plus grande menace pour les besoins d'une organisation en matière de confidentialité est devenue l'utilisation généralisée de services hébergés, notamment la messagerie électronique, le chat et la gestion de fichiers.

Alors qu'il y a quelques années, il aurait encore été relativement courant pour au moins les grandes organisations de gérer leurs propres serveurs de messagerie et de stocker des documents sur des serveurs internes, aujourd'hui, il s'agit presque exclusivement de fournisseurs de cloud tiers. E-mails, chats, documents, code logiciel :il ne reste presque plus rien dans les bureaux de nombreuses entreprises.

Une lutte éternelle

La façon dont les services Internet et les appareils de l'Internet des objets se développent est très contraire aux besoins de confidentialité et de sécurité des entreprises. Jusqu'à présent, il y a peu de recul ou de demande pour des services plus soucieux de la sécurité.

La stratégie la plus durable pour les entreprises peut consister à limiter la quantité d'informations qu'elles collectent auprès de leurs clients et à héberger ces informations avec leur propriété intellectuelle, sur une infrastructure physique auto-entretenue en interne.

L'auteur de ce blog est Jack Warner, expert en cybersécurité chez TechWarn

À propos de l'auteur

Jack est un expert accompli en cybersécurité avec des années d'expérience à son actif chez TechWarn, une agence numérique de confiance pour les entreprises de cybersécurité de classe mondiale. Fervent défenseur de la sécurité numérique lui-même, Jack contribue fréquemment à des blogs technologiques et à des médias numériques en partageant des avis d'experts sur des sujets tels que les outils de dénonciation et de cybersécurité.