La réglementation britannique IoT donne aux consommateurs le pouvoir d'exiger des objets connectés plus sûrs

Le gouvernement britannique fait avancer un cadre réglementaire complet pour les objets connectés (IoT), s'alignant sur une poussée mondiale pour sécuriser l'écosystème IoT en expansion rapide, selon Mike Nelson, vice-président de la sécurité IoT chez DigiCert.

Depuis des années, les produits IoT arrivent sur le marché avec des vulnérabilités critiques, permettant de nouveaux vecteurs de menace — des voitures piratables aux poupées servant d'outils de surveillance à distance — ainsi que des incidents à grande échelle comme le botnet Mirai qui a mis en péril l'infrastructure centrale d'Internet. Ces risques ont déclenché la réponse réglementaire du Royaume-Uni.

Les nouvelles réglementations s'appuient sur le Code de pratique 2018, « Secure by Design », qui offrait déjà aux fabricants et aux consommateurs un ensemble de directives de bonnes pratiques. Celles-ci incluent le stockage sécurisé des identifiants, la minimisation des surfaces d'attaque, l'intégrité logicielle continue et les mises à jour, ainsi que les communications chiffrées.

Bien que le Code 2018 fût volontaire, le gouvernement a maintenant rendu les dispositions clés obligatoires. Les régulateurs appliqueront au moins trois exigences fondamentales.

Trois directives

Premièrement, les mots de passe IoT doivent être uniques et ne peuvent pas être réinitialisés aux valeurs d'usine par défaut, éliminant le risque d'exploitation des identifiants par défaut par les attaquants.

Deuxièmement, les fabricants doivent publier un contact public pour la divulgation des vulnérabilités, permettant un signalement et une correction rapides des failles de sécurité.

Troisièmement, les fabricants d'appareils doivent divulguer la durée minimale pendant laquelle les mises à jour de sécurité seront fournies, donnant aux consommateurs un horizon clair pour le retrait ou des mesures de sécurité supplémentaires.

Les appareils répondant à ces critères peuvent afficher un label de sécurité approuvé par le gouvernement, signalant la confiance aux consommateurs.

La sécurité IoT transférée aux consommateurs

Historiquement, les fabricants — et parfois les équipes de sécurité d'entreprise — portaient la responsabilité de la sécurité des appareils. La certification « Secure by Design » transfère cette prise de décision à l'utilisateur final, permettant aux acheteurs d'évaluer le risque avant d'intégrer un appareil dans un réseau protégé.

Lorsque les consommateurs intègrent la sécurité dans leurs décisions d'achat, les fabricants sont contraints d'innover plutôt que de rogner sur les coûts. Historiquement, l'insécurité était moins chère ; maintenant, la sécurité peut devenir un différenciateur de marché.

Le calcul a trop longtemps été fait trop tard. Jusqu'à présent, les incitations — carotte et bâton — manquaient pour les fabricants. Bien que la nouvelle réglementation n'élimine pas toutes les vulnérabilités, elle fournit un cadre constructif qui récompense la conception proactive de la sécurité.

L'auteur est Mike Nelson, VP de la sécurité IoT, DigiCert

À propos de l'auteur

Mike Nelson est le VP de la sécurité IoT chez DigiCert, un fournisseur mondial de sécurité numérique. Dans ce rôle, Mike supervise le développement stratégique du marché pour les industries d'infrastructure critique, sécurisant des réseaux hautement sensibles et des appareils IoT dans la santé, les transports, les opérations industrielles, et les implémentations de réseaux intelligents et de villes intelligentes. Mike consulte fréquemment des organisations, contribue aux rapports médiatiques, participe aux organismes de normalisation de l'industrie, et intervient lors de conférences sur la manière dont la technologie peut améliorer la cybersécurité pour les systèmes critiques et les personnes qui en dépendent.

Mike a passé sa carrière dans l'informatique de santé, incluant des passages au Département américain de la Santé et des Services sociaux, GE Healthcare, et Leavitt Partners — un cabinet de conseil en santé spécialisé. Sa passion pour l'industrie découle de son expérience personnelle en tant que diabétique de type 1 et de son utilisation de la technologie connectée dans son traitement.